WireGuard를 통해 다시 트래픽 전달(응용 프로그램 처리 후 oif wg0에 대해 dnat 설정)

터미널 서버(서버 B)의 존재를 숨기기 위해 서로 다른 DC에 있는 두 서버 간의 보안 통신 채널로 WireGuard를 사용하고 있습니다. 저는 nftables를 방화벽 관리 도구로 사용합니다.

공용 서버 A에서 트래픽을 전달하고 IP 주소를 예약합니다(애플리케이션에 필요).

대상 서버 B가 패킷을 수신하고 애플리케이션이 이를 처리하지만 결국 서버는 원래 IP(원래 패킷의 보낸 사람 IP)로 패킷을 반환하려고 시도하므로 문제가 됩니다.

원래 IP를 가장하는 것은 간단한 해결책처럼 보이지만 이러한 패킷을 다시 WireGuard 터널로 라우팅하려면 서버 B에 이미 있는 원래 IP를 보존해야 합니다.

서버 B의 tcpdump:

1:02:36.675958 wg0   In  IP 1.2.3.4.54617 > 10.0.0.2.21: Flags [S], seq 1265491449, win 64240, options [mss 1452,nop,wscale 8,nop,nop,sackOK], length 0
1:02:36.675980 docker0 Out IP 1.2.3.4.54617 > 172.16.0.2.21: Flags [S], seq 1265491449, win 64240, options [mss 1452,nop,wscale 8,nop,nop,sackOK], length 0
1:02:36.676030 docker0 In  IP 172.16.0.2.21 > 1.2.3.4.54617: Flags [S.], seq 1815055360, ack 1265491450, win 64240, options [mss 1460,nop,nop,sackOK,nop,wscale 7], length 0
1:02:36.676033 enp41s0 Out IP 10.0.0.2.21 > 1.2.3.4.54617: Flags [S.], seq 1815055360, ack 1265491450, win 64240, options [mss 1460,nop,nop,sackOK,nop,wscale 7], length 0

• 1.2.3.4 - 원래 IP
• 10.0.0.2 - 서버 B의 IP 라인배커
• 172.16.0.2 - docker 네트워크, 이것이 애플리케이션이라고 가정합시다(모든 것이 잘 작동합니다)

안타깝게도 이 문제에 대한 해결책을 찾지 못해서 여러분의 도움을 요청합니다. 괜찮나요? 그렇다면 무엇을 의미합니까?

고쳐 쓰다

HAProxy를 사용하기로 결정했지만 성능이 뛰어난 솔루션은 아니라고 생각합니다. 그래서 나는 여전히 이 문제에 대한 가능한 해결책이 필요합니다.

systemd-networkdWireGuard 터널 구성 :

# sudo cat /etc/systemd/network/99-wg0.netdev

[NetDev]
Name=wg0
Kind=wireguard
Description=WireGuard tunnel wg0

[WireGuard]
ListenPort=51820
PrivateKey=[key]

[WireGuardPeer]
PublicKey=[key]
PresharedKey=[key]
AllowedIPs=0.0.0.0/0
Endpoint=[server A]:51820

# sudo cat /etc/systemd/network/99-wg0.network

[Match]
Name=wg0

[Network]
Address=10.0.0.2/24
Address=fdc9:281f:04d7:9ee9::2/64

# sudo ip rule:

0:      from all lookup local
32766:  from all lookup main
32767:  from all lookup default

nftables 구성:

# sudo nft list ruleset         
                                                                                                                                                               [0]
table inet filter {
        chain allow {
                ct state invalid drop comment "early drop of invalid connections"
                ct state { established, related } accept comment "allow tracked connections"

                ip protocol icmp accept comment "allow icmp"
                meta l4proto ipv6-icmp accept comment "allow icmp v6"

                icmp type echo-request limit rate over 10/second burst 4 packets drop comment "No ping floods"
                icmpv6 type echo-request limit rate over 10/second burst 4 packets drop comment "No ping floods"
        }

        chain wireguard {
                tcp dport 21 accept
        }

        chain input {
                type filter hook input priority filter; policy drop;

                iif "lo" accept comment "allow from loopback"

                tcp dport 22 ct state new limit rate 15/minute accept comment "Avoid brute force on SSH"
                tcp dport 22 accept comment "allow sshd"

                ip6 saddr [server A] udp dport 51820 accept comment "Accept wireguard connection from proxy1.vps-da4c9ada.ovh.zolotomc.ru"

                jump allow comment "allowed traffic for input"

                meta pkttype host limit rate 5/second counter packets 1047 bytes 43403 reject with icmpx admin-prohibited
                reject with icmpx host-unreachable
        }

        chain forward {
                type filter hook forward priority filter; policy drop;

                iif "docker0" accept comment "allow outgoing traffic from docker"

                jump allow comment "allowed traffic for forward"

                iif "wg0" jump wireguard comment "Wireguard chain"

                reject with icmpx host-unreachable
        }

        chain output {
                type filter hook output priority filter; policy accept;
        }
}

table inet nat {
        chain prerouting {
                type nat hook prerouting priority dstnat; policy accept;
                iif "wg0" jump wireguard comment "Wireguard chain"
        }

        chain wireguard {
                tcp dport 21 dnat ip to 172.16.0.2
                tcp dport 21 dnat ip6 to fe80::a8d7:f6ff:fe0b:4774
        }

        chain input {
                type nat hook input priority 100; policy accept;
        }

        chain output {
                type nat hook output priority -100; policy accept;
        }

        chain postrouting {
                type nat hook postrouting priority srcnat; policy accept;
                iif "docker0" oif != "docker0" masquerade
        }
}

나는 사용하려고패킷 메타 정보 설정, 그러나 포트를 새로운 임의 포트에 재할당합니다. 하지만 불가능하거나 너무 복잡하다는 생각이 들기 시작했습니다.nftables규칙.