Захист трафіку клієнтських станцій від небажаного витоку відкритих даних у зовнішню мережу залишається складним інженерним завданням. Більшість класичних додатків віртуальних приватних мереж покладаються на правила міжмережевого екрана (через iptables, nftables або WFP у Windows) для реалізації так званих аварійних вимикачів (kill switch). Проте блокування на основі брандмауера мають вразливі місця: оновлення оренди DHCP може автоматично змінити таблицю маршрутизації хоста, аварійне завершення фонової служби залишає відкритим фізичний шлюз за замовчуванням, перезапуск контейнерів Docker очищає ланцюжки фільтрації, а повідомлення IPv6 Router Advertisements здатні створювати паралельні маршрути, що спрямовують відкритий трафік безпосередньо у фізичний мережевий адаптер.

Мережеві простори імен Linux (Network Namespaces — netns) повністю усувають цей клас загроз за допомогою ізоляції на рівні ядра операційної системи. Поєднуючи примітиви netns з унікальною архітектурою сокетів WireGuard, системні адміністратори можуть гарантувати, що програми фізично позбавлені доступу до апаратних адаптерів, виключаючи витік незашифрованого трафіку.

Архітектурні недоліки аварійних вимикачів на базі брандмауера

Щоб зрозуміти переваги ізоляції мережевих просторів імен, розглянемо стандартний механізм функціонування VPN-клієнтів у просторі користувача:

  1. Хост утримує фізичний інтерфейс (eth0 або wlan0) зі шлюзом за замовчуванням в основній таблиці маршрутизації.
  2. Програма тунелювання створює віртуальний пристрій (tun0 або wg0) та вносить пріоритетні маршрути (0.0.0.0/1 і 128.0.0.0/1) для перехоплення вихідних пакетів.
  3. Міжмережевий екран підтримує правила для скидання трафіку в бік eth0 у разі відключення tun0.

Така конфігурація вимагає безперервної узгодженості між кількома незалежними таблицями ядра. Якщо додатковий процес запускається з правами CAP_NET_ADMIN, він може скоригувати маршрути. Якщо системний демон надсилає DNS-запит із явною прив'язкою сокета (SO_BINDTODEVICE до eth0), пакет прямує повз маршрутизацію тунелю і потрапляє у локальну мережу відкритим текстом.

Мережеві простори імен вирішують цю проблему через повний поділ мережевого стека на незалежні логічні домени. Кожен простір імен містить власні таблиці маршрутизації, правила фільтрації, списки сокетів, кеші ARP та переліки фізичних інтерфейсів.

Тунелювання cross-namespace через механізм dev_net_set

WireGuard містить вбудовану архітектурну можливість, яка використовує межу між віртуальними мережевими інтерфейсами (struct net_device) та відповідними сокетами UDP ядра (struct socket).

Коли інтерфейс WireGuard створюється в системному просторі імен за замовчуванням (init_net), ядро виділяє сокети прослуховування UDP на фізичних портах. Якщо згодом адміністратор переміщує інтерфейс wg0 в окремий ізольований простір імен (ns-secure), WireGuard виконує процедуру міждоменної передачі пристрою:

/* Концепція перенесення мережевого інтерфейсу між просторами імен */
int dev_change_net_namespace(struct net_device *dev, struct net *net, const char *pat)
{
    /* Відключення інтерфейсу в поточному просторі імен */
    dev_close(dev);
    synchronize_net();
    
    /* Призначення цільового мережевого простору імен */
    dev_net_set(dev, net);
    
    /* Увімкнення інтерфейсу в новому просторі імен */
    dev_open(dev, NULL);
    return 0;
}

Ключова ідея дизайну WireGuard полягає в закріпленні сокетів (socket anchoring):

  • Сокети інкапсуляції UDP (створені у drivers/net/wireguard/socket.c) залишаються непорушно закріпленими у фізичному просторі імен хоста (init_net).
  • Віртуальний мережевий інтерфейс wg0 переміщується в ізольований клієнтський простір імен (ns-secure).
┌─────────────────────────────────────────────────────────────┐
│ Фізичний простір імен хоста (init_net)                      │
│                                                             │
│   Мережевий адаптер (eth0) ── Шлюз 192.168.1.1              │
│                                                             │
│   ┌─────────────────────────────────────────────────────┐   │
│   │ Сокети UDP ядра WireGuard (Порт 51820)              │   │
│   └──────────────────────────┬──────────────────────────┘   │
└──────────────────────────────┼──────────────────────────────┘
                               │ Межа міждоменного зв'язку
                               │ (Внутрішній покажчик ядра)
┌──────────────────────────────┼──────────────────────────────┐
│ Ізольований простір імен (ns-secure)                        │
│                                                             │
│   Петльовий інтерфейс (lo)                                  │
│   Інтерфейс WireGuard (wg0) ── 10.0.0.2                     │
│   Шлюз за замовчуванням: 10.0.0.1 через wg0                 │
│                                                             │
│   [Захищені процеси: Браузер, SSH, Git, Docker]             │
└─────────────────────────────────────────────────────────────┘

Коли програма всередині ns-secure генерує дані, ядро спрямовує пакети в інтерфейс wg0. Функція передавання wg_xmit() шифрує навантаження алгоритмом ChaCha20-Poly1305 і передає готовий UDP-пакет сокетам, що перебувають в init_net. Зашифрований потік виходить через адаптер eth0, тоді як програма в ns-secure позбавлена будь-якого доступу до фізичного обладнання.

Топологічна неможливість витоку трафіку

За такої моделі розгортання ймовірність витоку даних виключається на топологічному рівні:

  • Відсутність фізичних адаптерів: Команди ip addr або ip route всередині ns-secure демонструють наявність лише двох інтерфейсів: lo та wg0. Адаптер eth0 або модуль Wi-Fi у цьому просторі імен не існують.
  • Принцип автоматичного блокування (Fail-Closed): У разі зупинки інтерфейсу WireGuard або розриву сесії рукостискання пакети стикаються з порожньою таблицею маршрутизації. Ядро негайно повертає код помилки ENETUNREACH (Мережа недосяжна). Відкриті пакети не мають технічної змоги потрапити у фізичну мережу.
  • Захист DNS-запитів: Простір імен використовує індивідуальну конфігурацію /etc/netns/ns-secure/resolv.conf, спрямовану виключно на внутрішній DNS-резолвер тунелю (10.0.0.1). Сторонні програми не можуть скеровувати запити до локальних DNS-серверів провайдера.

Практична реалізація: налаштування ізольованого простору імен

Створення ізольованого середовища в Linux реалізується стандартними системними командами:

# 1. Створення ізольованого простору імен
ip netns add secure-vault

# 2. Створення інтерфейсу WireGuard в основному просторі
ip link add wg0 type wireguard

# 3. Завантаження конфігурації ключів
wg setconf wg0 /etc/wireguard/wg0.conf

# 4. Перенесення інтерфейсу в ізольований простір
ip link set wg0 netns secure-vault

# 5. Налаштування зв'язку в ізольованому просторі
ip -n secure-vault link set lo up
ip -n secure-vault addr add 10.8.0.2/24 dev wg0
ip -n secure-vault link set wg0 up
ip -n secure-vault route add default dev wg0

# 6. Запуск програми в ізольованому середовищі
ip netns exec secure-vault sudo -u user firefox

Будь-яка програма, запущена за допомогою ip netns exec secure-vault, функціонує в замкненому контурі. Навіть під час підключення станції до ненадійних публічних мереж Wi-Fi, весь трафік програми йде лише через автентифікований криптографічний тунель.

Інтеграція в хмарну платформу RiceGuard

На робочих станціях достатньо одного відокремленого простору, але в розподілених центрах Anycast-мережі RiceGuard обслуговуються тисячі паралельних орендарів і завдань.

RiceGuard масштабує крос-неймспейс підхід:

  • Ефемерні простори імен: Завдання та мікросервіси запускаються в ізольованих просторах імен, які видаляються після завершення сесії, унеможливлюючи перетин потоків даних між клієнтами.
  • Апаратне прискорення через eBPF: RiceGuard маршрутизує пакети між просторами імен за допомогою програм eBPF sockops, мінімізуючи накладні витрати пам'яті.
  • Постійний моніторинг ядра: Спеціальні зонди ядра верифікують відсутність прямих каналів зв'язку з фізичними інтерфейсами шлюзів для ізольованих контейнерів.

Перехід від гнучких правил брандмауера до жорсткої ізоляції на рівні ядра операційної системи забезпечує захищений мережевий контур для найвищих вимог безпеки.