Início / server / Perguntas / 1177779
Accepted
Bernd Storath
Asked: 2025-03-27 15:53:34 +0800 CST

Podman, WireGuard e nftables

  • 772

Estou executando o WireGuard em um contêiner Podman. Tenho uma configuração Hub and Spoke como esta

Client A <--> Hub <--> Client B
               |
               |
            Internet

Esta é minha configuração WireGuard no Hub atualmente

[Interface]
PrivateKey = ...
Address = 10.8.0.1/24, fdcc:ad94:bacf:61a4::cafe:1/112
ListenPort = 51820
MTU = 1420
PostUp = iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE; iptables -A INPUT -p udp -m udp --dport 51820 -j ACCEPT; iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; ip6tables -t nat -A POSTROUTING -s fdcc:ad94:bacf:61a4::cafe:0/112 -o eth0 -j MASQUERADE; ip6tables -A INPUT -p udp -m udp --dport 51820 -j ACCEPT; ip6tables -A FORWARD -i wg0 -j ACCEPT; ip6tables -A FORWARD -o wg0 -j ACCEPT;
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE; iptables -D INPUT -p udp -m udp --dport 51820 -j ACCEPT; iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; ip6tables -t nat -D POSTROUTING -s fdcc:ad94:bacf:61a4::cafe:0/112 -o eth0 -j MASQUERADE; ip6tables -D INPUT -p udp -m udp --dport 51820 -j ACCEPT; ip6tables -D FORWARD -i wg0 -j ACCEPT; ip6tables -D FORWARD -o wg0 -j ACCEPT;

# Client A
[Peer]
PublicKey = hcU3LDJmlsInRSDFErt+Kp2CZBRzSggvmfOkSKcGx1A=
PresharedKey = ...
AllowedIPs = 10.8.0.2/32, fdcc:ad94:bacf:61a4::cafe:2/128

Mas como o Hub está executando o AlmaLinux 9.5 no OCI, tive que configurar o iptables para usar iptables-legacy.

Agora estou tentando migrar para nftables

Esta é a nova configuração

[Interface]
...
PostUp = nft add table inet wg_table; nft add chain inet wg_table postrouting { type nat hook postrouting priority 100 \; }; nft add rule inet wg_table postrouting ip saddr 10.8.0.0/24 oifname eth0 masquerade; nft add rule inet wg_table postrouting ip6 saddr fdcc:ad94:bacf:61a4::cafe:0/112 oifname eth0 masquerade; nft add chain inet wg_table input { type filter hook input priority 0 \; policy accept \; }; nft add rule inet wg_table input udp dport 51820 accept; nft add chain inet wg_table forward { type filter hook forward priority 0 \; policy accept \; }; nft add rule inet wg_table forward iifname "wg0" accept; nft add rule inet wg_table forward oifname "wg0" accept;
PostDown = nft delete table inet wg_table
...

Tentei ficar o mais próximo possível da regra original do iptables por enquanto.

Mas não funciona usando meu telefone, não consigo me conectar à internet com as novas regras. Mesmo usando iptables-nft, não funciona

iptables

1 respostas

  1. Best Answer

    Isso pode ocorrer porque o nftables também precisa de uma cadeia no gancho de pré-roteamento para executar o nat: ele não precisa de nenhuma regra interna, mas precisa dela para habilitar o caminho de volta.

    nft add chain inet wg_table prerouting { type nat hook prerouting priority 100 \; };

    Notas laterais:

    • Aspecto de segurança
    nft add chain inet wg_table forward { type filter hook forward priority 0 \; policy accept \; };
nft add rule inet wg_table forward iifname "wg0" accept;
nft add rule inet wg_table forward oifname "wg0" accept;

    As 2 regras devem ser irrelevantes, já que a política de hook padrão é aceitar. Eu removeria a "policy accept" da cadeia de hooks, já que as 2 regras permitirão de qualquer forma.

    • Formatar

    Eu recomendo fortemente usar um script de "formato de saída" do nftables, que evita repetir os comandos nft(..) e mostra a coisa muito mais estruturada visualmente. https://wiki.nftables.org/wiki-nftables/index.php/Scripting#File_formats

    • deve-se sempre criar a tabela, excluí-la e criá-la, para evitar ter regras duplicadas se a tabela já existir. Criar não mostrará um erro, e excluir não, pois ela será existente independentemente de ter preexistido ou não:
        nft add table inet wg_table;
    nft delete table inet wg_table;
    nft add table inet wg_table;
    • Depurando nftables Marcar pacotes ajudará a seguir no netfilter e ver onde eles são descartados. Em qualquer cadeia onde você combina pacotes para seguir: xxxxx meta nftrace set 1 então: No console:nft monitor trace

    Tchau

    • 0

relate perguntas