通过 WireGuard 将流量转发回（处理应用程序后，为 oif wg0 设置 dnat）

Question

正确回复所需的信息：“初始数据包来自哪个接口？”当在来自网络接口的回复中看到不同的数据包时，就会丢失。需要一种记住它并在回复中重复使用它的方法。这里是：连线它会记住所有当前跟踪的连接的列表。它还可以存储，每流一个标记，然后称为康马克。人们可以赋予一种价值以意义。

这允许申请策略路由到整个流而不仅仅是单个数据包。

博客Linux 及更高版本！那里解释说：Netfilter康马克。

这个想法是在流使用 WireGuard 接口时记住信息，以便回复数据包与同一流关联，并通过 WireGuard 接口路由回来，而不是它们应该采用的通常路由。这可以由独立机构处理nftables表和关联的路由表/规则来改变数据包的正常命运。使用具有0xf00“此流来自”含义的任意标记值wg0和任意路由表 1000 来选择wg0回复。

准备足够的路由表和路由规则来覆盖回复数据包的正常路由：

ip route add default dev wg0 table 1000
ip rule add fwmark 0xf00 lookup 1000

如果也使用 IPv6（但 OP 的配置在 AllowedIPs 中缺少 IPv6），则还：

ip -6 route add default dev wg0 table 1000
ip -6 rule add fwmark 0xf00 lookup 1000

使用示例systemd-networkd：

[Match]
Name=wg0

[Network]
Address=10.0.0.2/24
Address=fdc9:281f:04d7:9ee9::2/64

[Route]
Gateway=0.0.0.0
Table=1000

[RoutingPolicyRule]
Table=1000
FirewallMark=0xf00

并添加下表：

replywg0.nft：

table inet replywg0         # for idempotency
delete table inet replywg0  # for idempotency

table inet replywg0 {
    chain prerouting {
        type filter hook prerouting priority -150; policy accept;
        iif wg0 ct mark set 0xf00
        iif != wg0 ct mark 0xf00 meta mark set 0xf00
    }

    chain output {
        type route hook output priority -150; policy accept;
        ct mark 0xf00 meta mark set 0xf00
    }
}

加载：

nft -f replywg0.nft

注意事项和警告：

这包标记是唯一影响路由的标记，来自时未设置wg0，仅设置康马克设置：否则它将选择表 1000 中定义的单个路由，并将数据包从其来源处路由回，而不是继续发送到本地系统或 Docker 容器。如果路由表 1000 包含所有（我不知道的）相关附加路由，则不需要这种特殊处理。
如果输出链仅适用于 Docker 流量，那么输出链是完全可选的。它仅对以下有用当地的回复流量：收到的流量工作组0它没有发送到 Docker，而是发送到本地系统。请注意这里使用的type route是而不是type filter，因此仍然可以进行新的路由查找。无论如何，一些 UDP 服务不会在这里正确回复：IP 源地址可能是错误的（在上设置的地址enp41s0），并且需要一些额外的不完美的 NAT 创可贴（例如表 inet nat 输出中的伪装）。
如果以后对标记有其他需求，请小心（甚至 WireGuard 本身也有一个可以设置标记的选项）：如果处理不当，它们可能会发生冲突。
FTP（出现在 OP 的设置中）很特殊：它使用额外的数据连接，并且可能需要ALG（通常在服务器情况下处于被动模式）。只要不加密，在 Linux 上就可以用内核模块处理nf_conntrack_ftp+nf_nat_ftp和足够的设置，例如：安全使用 iptables 和连接跟踪助手并具有（略有不同）等价物nftables设置。由于 RELATED 流量（数据流量）继承了康马克，该博客中描述的设置甚至可以与此答案中的设置一起使用。切换开关nf_conntrack_helper正在完全从内核 >= 6.0 中删除，因此这成为必需的设置。
我假设rp_filter值不是 1，因为否则wg0一开始可能什么都不会发生。如果设置为 1，则需要在多个地方进行额外设置。

Answer 1