AllowedIPs marşrut siyahısıdır, firewall qaydası deyil

Əksər insanlar AllowedIPs-i icazə siyahısı kimi oxuyur: peer-ə qoşula bilən ünvanlar çoxluğu, sanki tunel üçün yazılmış firewall qaydası. Belə deyil. Bu sahə hər iki istiqamətdə işləyən marşrut cədvəlidir: gedən paket üçün peer seçir və gələn paketin mənbəyini yoxlayır. Onu giriş siyahısı kimi oxumaq, heç kimin istəmədiyi trafiki marşrutlaşdıran konfiqurasiyalar yaradır.

Bir sahə, iki oxucu: gedən üçün seçim və mənbə yoxlaması

Müştəridə prefikslər hansı təyinatların həmin peer-ə getdiyini və hansıların adi şəbəkədə qaldığını müəyyən edir. Buna görə 0.0.0.0/0 üçün giriş bütün IPv4 təyinatlarını tutur; tam tunel profilinin idxalı adi brauzerin uzaq maşından keçməsinin səbəbi də budur. Dar girişlər əksini edir: yalnız sadaladığınız şəbəkələri marşrutlaşdırır və qalan hər şeyi olduğu yerdə saxlayır. WireGuard sənədlərindəki kriptoaçar marşrutlaşdırma bölməsi hər iki işi bir yerdə göstərir: gedən peer seçimi və gələn mənbənin yoxlanması.

Serverdə eyni sahə hər peer-in hansı mənbə ünvanlarından istifadə edə biləcəyini təsvir edir. Bu, paket filtri deyil, kriptoqrafik yoxlamadır: daxili mənbəyi peer-in siyahısına uyğun gəlməyən paket hər hansı host firewallu onu görməzdən əvvəl WireGuard daxilində atılır. Hər iki iş bir siyahını paylaşır; başqa yerdən köçürülmüş siyahının nəzərə almadığınız yerdə səhv davranmasının səbəbi də məhz budur.

Müştəri bloku bu qarışıqlığın başladığı yerdir. Split tunel uzaq şəbəkələri adlandırır, tam tunel isə eyni sahənin standart prefiks saxlamasıdır:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Hər iki forma özlüyündə tamdır və onlar addımlar deyil, alternativlərdir. Birincisi yalnız həmin iki şəbəkəni tuneldən keçirir; ikincisi hər təyinatı göndərir və ::/0 girişi IPv4 standartına IPv6 əlavə edir. Hansını seçsəniz də, wg-quick marşrutları quraşdırmağa başlayandan sonra həmin prefikslər o peer üçün bütün marşrut qərarıdır.

Hub fərqli siyahı tələb edir

Hub hər müştərinin tunel ünvanını host prefiksi kimi, həmçinin həmin müştərinin həqiqətən arxasında olan istənilən şəbəkəni sadalayır. Müştərinin geniş siyahısını hər hub peer-ə köçürmək huba deyir ki, çoxlu peer eyni ünvanlardan mənbə kimi istifadə edə bilər; bu isə ünvan planı deyil. Endpoint sahəsi tamamilə başqa qata aiddir: peer-in xarici ünvanını və portunu adlandırır, heç vaxt tunel daxilindəki təyinatı yox.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Host prefiksi tunel ünvanını, şəbəkə prefiksi isə müştərinin arxasında olanı daşıyır və hər ikisi lazımdır. Host prefiksi olmadan hub müştərinin öz trafikini qaytara bilmir, şəbəkə prefiksi olmadan isə arxasındakı LAN əlçatmaz qalır; arxasında heç nə olmayan peer yalnız host prefiksini alır.

Marşrut quraşdırmasını atlamaq boşluq yaradır

wg-quick, interfeysi konfiqurasiya faylından qaldıran köməkçi, bu işin bir hissəsi kimi interfeys ünvanlarını və marşrutları quraşdırır. Table = off qurulması köməkçiyə marşrut işini atlamağı tapşırır; bu, əvəzediciləri quraşdırmır və şəxsi şəbəkəni əlçatan etmir. Avtomatik marşrutlar artıq işi görəndə ehtiyacınız olan prefiksləri adlandırmaq daha aydın konfiqurasiyadır. Marşrut idarəetməsini söndürüb əvəzləyicini yazmamaq dizayn deyil, bir boşluqdur.

Əsas wg aləti fərqli davranır: interfeysi konfiqurasiya edir və marşrutlara heç vaxt toxunmur, ona görə birbaşa onun üzərində qurulan quraşdırmanın öz marşrut əmrləri lazımdır. Bir alət üçün yazılmış təlimatlar digəri ilə izləndikdə səhv görünə bilər. Uğurlu ping də zəif sübutdur, çünki o, sizə lazım olan hər tətbiq yolunu deyil, yalnız bir yolu yoxlayır.

DNS və IPv6 ayrıca qərarlaşdırılır

Tunelin elan etdiyi DNS server ünvanını yoxlayın və seçdiyiniz prefikslər vasitəsilə həmin ünvana marşrutun mövcud olduğunu təsdiqləyin. Həlledici parametri həlledicini əlçatan etmir və tuneli daraltmaq ona uzanan marşrutu səssizcə silə bilər. IPv6-nı da ayrıca yoxlayın, çünki düzgün IPv4 bölgüsü hələ də fiziki bağlantıya baxan IPv6 standart marşrutu haqqında heç nə demir. Bir peer blokunu redaktə edəndə üç ayrı qərar eyni vaxtda dəyişə bilər.

Sonra məlum başlanğıc konfiqurasiyasından bir şəxsi resursu və bir adi veb saytı açın. Resurs cavab verirsə və brauzer hələ də yerli bağlantıdan çıxırsa, bölgü istədiyinizi edir. Brauzer eyni anda pozulursa, tunel standart marşrutu götürüb və prefiks siyahısı axtarılmalı yerdir.