WireGuardを介したトラフィックの再送（アプリケーション処理後のoif wg0のdnat設定）

Question

正しく応答するために必要な情報：「初期パケットはどのインターフェイスから来ましたか？」ネットワークインタフェースの応答に別のパケットが表示されると失われます。これを覚えて応答に再利用する方法が必要です。ここにいる：つながる現在追跡されているすべての接続のリストを覚えておいてください。保管も可能で、ストリームあたりマーク、それから呼び出しコマック。人々は価値に意味を与えることができます。

これにより、アプリケーションを使用できます。ポリシールーティング個々のパケットではなくストリーム全体に適用されます。

ブログLinux以上！そこに説明されています：ネットフィルターコマック。

アイデアは、フローがWireGuardインターフェイスを使用するときに情報を記憶し、応答パケットが同じフローに関連付けられ、通常のパスではなくWireGuardインターフェイスを介して再ルーティングされるようにすることです。これは独立機関を通じて処理することができます。nftablesテーブルと関連ルーティングテーブル/ルールを使用して、パケットの通常の運命を変更します。応答を選択するには、0xf00「このフローのソース」を意味するタグ値wg0とルーティングテーブル1000を使用します。wg0

応答パケットの一般的なルーティングを処理するのに十分なルーティングテーブルとルーティングルールを準備します。

ip route add default dev wg0 table 1000
ip rule add fwmark 0xf00 lookup 1000

IPv6も使用されている場合（ただし、OPの設定でAllowedIPsにIPv6が欠落している場合）、次の手順も実行します。

ip -6 route add default dev wg0 table 1000
ip -6 rule add fwmark 0xf00 lookup 1000

使用例systemd-networkd:

[Match]
Name=wg0

[Network]
Address=10.0.0.2/24
Address=fdc9:281f:04d7:9ee9::2/64

[Route]
Gateway=0.0.0.0
Table=1000

[RoutingPolicyRule]
Table=1000
FirewallMark=0xf00

そして、次のテーブルを追加してください。

replywg0.nft:

table inet replywg0         # for idempotency
delete table inet replywg0  # for idempotency

table inet replywg0 {
    chain prerouting {
        type filter hook prerouting priority -150; policy accept;
        iif wg0 ct mark set 0xf00
        iif != wg0 ct mark 0xf00 meta mark set 0xf00
    }

    chain output {
        type route hook output priority -150; policy accept;
        ct mark 0xf00 meta mark set 0xf00
    }
}

負荷:

nft -f replywg0.nft

注意と警告：

これバッグタグはルーティングに影響を与える唯一のタグであり、から来るときに設定されず、設定のみですwg0。コマック設定：そうでない場合は、表1000で定義されている単一パスを選択し、ローカルシステムまたはDockerコンテナに移動し続けるのではなく、ソースからパケットを再ルーティングします。ルーティングテーブル1000に私が知らないすべての関連する追加のパスが含まれている場合、この特別な処理は必要ありません。
出力チェーンがDockerトラフィックにのみ適している場合、出力チェーンは完全にオプションです。次の場合にのみ便利です。地元の応答トラフィック：受信したトラフィックワークグループ0Dockerに送信されず、ローカルシステムに送信されます。代わりに、ここではtype route代わりに使用されるので、type filter新しいルート検索はまだ可能です。とにかく、一部のUDPサービスはここで正しく応答しません。 IPソースアドレスが間違っている可能性があります（で設定されたアドレスenp41s0）、いくつかの追加の不完全なNATバンドルが必要です（例：inet nat出力の中の最もよいテーブル）。
後でフラグに関する他の要件がある場合は注意してください（WireGuard自体にもフラグを設定するオプションがあります）。正しく処理しないと、競合が発生する可能性があります。
FTP（OP設定に表示されます）は特別です。追加のデータ接続を使用し、必要になる場合があります。ALG（通常サーバーの場合はパッシブモードです）。暗号化されていない限り、Linuxのカーネルモジュールとして扱うことができます。nf_conntrack_ftp+nf_nat_ftp以下の設定で十分です。iptablesと接続追跡ヘルパーの安全な使用そして（少し違う）同等物がありますnftables設定。 RELATEDトラフィック（データトラフィック）はコマック、このブログで説明されている設定は、この回答の設定でも機能します。トグルスイッチnf_conntrack_helper~であるカーネル>= 6.0から完全に削除されましたしたがって、これは必須設定になります。
私は仮定するrp_filter値は 1 ではありません。そうでなければ、wg0最初は何も起こらないかもしれないからです。 1に設定すると、さまざまな場所に追加の設定が必要です。

Answer 1