Mulvad VPN의 "로컬 네트워크 공유" 차단에서 libvirt가 사용하는 dnsmasq를 제외하는 방법

Question

아래에 언급된 체인은 별도의 테이블에 포함되어야 합니다. 예:

table inet allowedLocal {
    ...
}

허용하려는 특정 트래픽에 따라 다릅니다. 가상 머신의 DNS 요청(및 호스트의 응답)만 허용하려면 다음과 같은 링크를 사용해야 합니다.

chain input {
    type filter hook input priority mangle; policy accept;
    ip saddr 192.168.122.0/24 meta l4proto { tcp, udp } th dport 53 ct mark set 0x00000f41
}

(conntrack mark)를 설정하면 호스트의 응답 체인이 ct mark필요하지 않습니다 hook output. 응답 체인은 해당 요청의 동일한 "연결"에 속하므로 ct mark자동으로 동일한 연결을 얻게 됩니다. 트래픽이 ( 위치 ) 로 들어오기 전에 설정되었는지 priority mangle확인합니다 .ct markchain inputtable inet mullvadct mark 0x00000f41 accept

내가 알고/기억하는 것과는 달리, 적어도 호스트 자체에서 "로컬" 네트워크로가 아닌 필요에 따라 응답을 라우팅하기 위해 올바른 meta mark( )을 설정할 필요는 없는 것 같습니다. fwmark(놀랍게도 실제 동작은 애플리케이션마다 다른 것 같습니다. systemd-resolved 스텁 추가 리스너로 테스트할 때 접두사를 포함하되 이에 국한되지 않는 모든 라우팅을 제거하더라도 응답은 요청이 발생한 인터페이스에서 나옵니다. 라우팅, dnsmasq로 테스트할 때 응답은 항상 main모든 IP 규칙/대체 테이블을 무시하고 라우팅 테이블에 따라 라우팅됩니다.

모든 "연결"을 허용하고 싶다면VM에 의해 시작됨그건(L3-) 대상이 호스트임, 다음을 삭제할 수 있습니다 meta l4proto { tcp, udp } th dport 53.

chain input {
    type filter hook input priority mangle; policy accept;
    ip saddr 192.168.122.0/24 ct mark set 0x00000f41
}

위의 체인은 "연결"을 설정하지 않습니다.호스트에 의해 시작됨그건(L3-) VM으로 전송됨허용하다. 이러한 "연결"을 허용하려면 다음이 필요합니다.

chain output {
    type route hook output priority filter; policy accept;
    ip daddr 192.168.122.0/24 ct mark set 0xf41 meta mark set 0x6d6f6c65
}

참고로 ct mark이 체인의 설정은 주로 가상 머신의 응답을 허용하는 것입니다. 실제로 호스트에서 발생하는 트래픽을 허용하는 것은 의 oif "wg-mullvad" accept규칙 chain output입니다 table inet mullvad. 트래픽은 이후 단계에서 체인을 통과하는 것으로 나타나 type route므로 새로운 라우팅 결정이 내려지기 전에도 원래 경로를 허용해야 합니다(왜냐하면 meta mark). 다시 말해서,제 생각에는한 체인에 의해 "변경"된 트래픽을 (추가로) 필터링하려면 (하나 대신 ) type route다른 체인을 사용해야 합니다 .type routetype filter(자세한 내용에 관심이 없다면 이 단락을 무시해도 됩니다. 그럼에도 불구하고 정보가 완전히 정확하지 않을 수 있습니다.)

편집하다chain prerouting: 실제로 모든 트래픽에 필요한 트래픽을 table inet mullvad설정한다는 것은 DNS가 VM에 대해 작동하도록 허용하기 위해 위에서 제공한 체인이 필요하지 않다는 것을 의미한다는 것을 방금 알았습니다 . 시도해 보고 도움이 되는지 확인할 수 있지만 지금은 원래 의심했던 것처럼 어떤 이유로든 업스트림 서버로 사용되지 않는 것이 문제일 수 있다고 생각합니다...ct markiif != "wg-mullvad"dnsmasq10.64.0.1

Answer 1