Iptables: cum să permiteți redirecționarea de la NIC wireguard numai la unele IP

Context

M-am integrat cu succes Apărător de sârmă în LAN-ul meu pentru a putea accesa NAS-ul meu (192.168.1.45) din exterior.

|Router| ===:5182=> |Server VPN| ====> |NAS|
192.168.1.254 192.168.1.21 (wlan0) 192.168.1.45
                        10.10.10.1 (wg0)

Redirecționarea pachetelor prin serverul meu VPN se bazează pe:

1. redirecționare ip în /etc/sysctl.conf (Cf scenariul meu)
2. s-au adăugat următoarele reguli (-A) când interfața wireguard (wg0) este sus.

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o $main_nic -j MASQUERADE; ip6tables -A FORWARD -i wg0 -j ACCEPT; ip6tables -t nat -A POSTROUTING -o $main_nic -j MASQUERADE

(aceasta este comanda wireguard executată când mă opresc wg0)

PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o $main_nic -j MASQUERADE; ip6tables -D FORWARD -i wg0 -j ACCEPT; ip6tables -t nat -D POSTROUTING -o $main_nic -j MASQUERADE

Nevoie

Acest lucru funcționează ca un farmec, dar cum aș putea restricționa lucrurile, astfel încât un client care intră în LAN-ul meu prin acest punct de intrare VPN să poată accesa doar 192.168.1.45 și nici un alt IP? Este compatibil cu redirecționare ip?

În mod ideal, dacă acest lucru ar putea fi gestionat în întregime în Documenta PostDown directivele wireguard (independent de regulile anterioare ale sistemului), acest lucru ar fi uimitor. Am încercat câteva, dar, să recunoaștem, sunt mai mult un dezvoltator decât un administrator de rețea

Sigur că puteți, în loc să permiteți traficul în mod arbitrar, asigurați-vă că acesta ajunge la IP-ul de destinație pe care îl așteptați:

-A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT 
-A FORWARD -i wg0 -d 192.168.1.45 -j ACCEPT

Ca o notă secundară, nu aș adăuga și nu aș elimina reguli din Documenta și PostDown cârlige, nu este util să le eliminați când interfața nu mai există, deoarece nu fac nimic în acest caz. Doar lăsați-le acolo tot timpul, este mai puțin predispus la erori și este mai ușor de gestionat.