Twnnel llawn WireGuard: nid yw AllowedIPs 0.0.0.0/0 yn ddigon

Mae rhoi 0.0.0.0/0, ::/0 yn AllowedIPs peer yn gam mae pawb yn ei gofio, ac mae ond yn penderfynu pa draffig y caiff y peer ei gario. Nid yw’r rhagddodiaid hyn yn creu unrhyw lwybrau, nid ydynt yn anfon unrhyw beth ymlaen yr ochr bell, ac maent yn gadael datryswr pob rhaglen yn union lle’r oedd. Rhaid i bedair peth ar wahân fod yn wir ar yr un pryd i dwnnel llawn fod yn dwnnel llawn, a gwell eu gwirio yn y drefn isod, oherwydd ni all gwiriad diweddarach achub un cynharach. Mae pob gwiriad isod yn ffaith y gallwch ei darllen oddi ar beiriant, nid gosodiad yr ydych yn gobeithio iddo gael ei gymhwyso.

Beth mae rhagddodiad y peer yn ei ddewis, a beth nad yw’n ei ddewis

Mae AllowedIPs yn ddetholwr ac yn awdurdodydd ar yr un pryd. Mae’n dweud wrth yr ochr leol pa gyrchfannau y gellir eu hanfon at y peer hwn, ac mae’n dweud wrth yr ochr sy’n derbyn pa gyfeiriadau ffynhonnell y caiff y peer hwn eu cyflwyno. Dyna’r holl waith. Nid oes unrhyw beth yn y disgrifiad hwnnw yn creu llwybr ar y gwesteiwr, yn galluogi anfon ymlaen yr ochr bell, nac yn cyffwrdd â datrysiad enwau.

Dyma pam y gall ffurfweddiad edrych yn gyflawn a bihafio fel twnnel hollt. Mae’r rhagddodiad yn dweud y byddai’r peer yn derbyn popeth; tabl llwybrau’r gwesteiwr sy’n penderfynu beth sy’n cyrraedd yno mewn gwirionedd, a’r porth sy’n penderfynu a yw unrhyw beth yn gadael. Nid oes yr un o’r tri phenderfyniad hynny yn byw yn stanza’r peer.

Llwybro’r cleient, nid y rhestr peer yn unig

Mae rheolwyr megis wg-quick yn rhaglennu tabl llwybrau’r gwesteiwr ar eich rhan, a dyna pam mae dau ffeil ffurfweddiad unfath yn bihafio’n wahanol yn dibynnu ar sut y codwyd y rhyngwyneb. Mae proffil lleiaf yn ddigon byr i’w ddarllen mewn un tro:

[Interface]
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = vpn.example.net:51820

Mae dau fanylyn yn cario’r gwaith. Mae’r maes Address yn rhagddodiad gwesteiwr sengl yn hytrach na isrwyd y mae’r cleient yn credu sy’n eiddo iddo, a’r rheolwr sy’n troi’r AllowedIPs rhagosodedig yn llwybr rhagosodedig go iawn. Codwch yr un ffeil gyda ip link a wg setconf ac ni fydd unrhyw lwybrau yn ymddangos o gwbl, sy’n edrych fel twnnel wedi torri ac sydd mewn gwirionedd yn un iach gyda’r cam llwybro wedi’i hepgor. Mae llawlyfr wg-quick yn dogfennu’r llwybro a’r Table ymddygiad y mae’r rheolwyr hynny yn ei ychwanegu.

Darllenwch y canlyniad yn lle’r ffeil: ip route get 1.1.1.1 dylai enwi rhyngwyneb y twnnel, a wg show dylai adrodd handshake diweddar gyda chyfrifydd trosglwyddo sy’n symud. Mae handshake heb lwybr yn golygu na redodd y rheolwr erioed, ac ni fydd golygu’r proffil eto yn trwsio hynny. Dechreuwch y rhyngwyneb fel y bydd y defnyddiwr yn ei ddechrau, neu mae’r prawf yn mesur eich plisgyn yn lle’r defnydd.

Cadw’r diweddbwynt y tu allan i’r twnnel

Mae twnnel llawn yn dal pob cyrchfan, gan gynnwys yr un y mae’n rhaid iddo siarad â hi i fodoli. Mae rheolwyr yn trin hynny drwy ychwanegu llwybr gwesteiwr ar gyfer y diweddbwynt drwy’r porth gwreiddiol, a dyna pam mae ffurfweddiad cywir bron bob amser yn cynnwys un eithriad bwriadol. Defnyddio hanner’r ffurfweddiad gyda rheolwr a’r hanner arall â llaw yw’r ffordd arferol y mae’r eithriad hwn yn mynd ar goll.

Os yw’r diweddbwynt yn enw gwesteiwr sy’n datrys i sawl cyfeiriad, neu i deulu nad ydych yn ei gario, mae’r eithriad yn heneiddio’n wael a gall y twnnel fethu ar ôl ailgysylltu a oedd yn edrych yn rheolaidd. Pinwch y diweddbwynt i gyfeiriad yr ydych yn ei reoli, neu cadarnhewch fod y rheolwr yn ei ailddangos, ac ailddarllenwch lwybr y gwesteiwr ar ôl pob newid rhwydwaith.

Mae’r un mecanwaith yn esbonio pam mae twnnel llawn a phorthladd carchar yn ymladd. Mae’r porth yn disgwyl rhyng-gipio’r traffig y mae eich twnnel bellach yn ei ddal, felly ar rwydweithiau gwesty a maes awyr rydych yn codi’r twnnel ar ôl mewngofnodi i’r porth, byth o’r blaen.

Anfon ymlaen a’r llwybr dychwelyd ar y porth

Ar y porth, galluogwch anfon ymlaen ar gyfer y teulu yr ydych yn ei gario, caniathewch y gadwyn forward yn y ddau gyfeiriad pan fyddwch yn cyfieithu, a chadarnhewch y llwybr dychwelyd gyda chwilfa sy’n benodol i’r ffynhonnell. Nid oes unrhyw beth o hynny yn dilyn o handshake llwyddiannus, oherwydd nid yw handshake ond yn profi y gall y ddau peer gyfnewid UDP. Nid yw’n dweud dim am beth sy’n digwydd i’r pecyn dadgapsiwleiddiedig wedyn.

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding
ip route get 1.1.1.1 from 10.8.0.2

Mae’r chwilfa yn rhedeg ar y porth yn hytrach nag ar y cleient, neu byddwch yn darllen tabl llwybrau gwahanol. Os yw’n enwi’r rhyngwyneb anghywir, neu’n adrodd nad oes llwybr, yna ni fydd unrhyw newid ar ochr y cleient yn cynhyrchu allanfa i’r rhyngrwyd. Pan fydd y porth yn cyfieithu cyfeiriadau cleientiaid ar y ffordd allan, mae’r ateb yn dibynnu ar y cyflwr cyfieithu hwnnw, felly rhaid i’r rheol fodoli ar gyfer dau gyfeiriad y llif ac nid ar gyfer yr un allan yn unig.

DNS a’r cyflwr methiant, wedi’u profi ar wahân

Nid yw’r protocol ei hun yn ffurfweddu datryswr unrhyw raglen. wg-quick yn cymhwyso’r llinell DNS drwy integreiddiad datryswr y dosbarthiad, gall cynwysyddion a phorwyr â’u staciau eu hunain ei hanwybyddu, ac felly gall enw fethu tra bo’r twnnel yn cario pecynnau’n berffaith. Profwch ag enw gwesteiwr yn hytrach na chyfeiriad, a nodwch pa weinydd a atebodd yn lle tybio mai’r un yn y proffil a wnaeth.

Mae teuluoedd cyfeiriadau yn brawf ar wahân gydag ateb ar wahân. Nid yw llwybr rhagosodedig v4 yn dweud dim am yr hyn y bydd cysylltiad v6 rhaglen yn ei wneud, ac mae twnnel sy’n gollwng yr ail deulu yn dawel yn waeth nag un sy’n methu’n uchel. Gofynnwch am enw dros bob teulu, darllenwch y rhyngwyneb a ddefnyddiodd pob cais, a gwiriwch gyfrifwyr cyfieithu cyn ac ar ôl, oherwydd mae rheol nad yw’n cyfateb i ddim yn edrych yn unfath â rheol sydd ar goll.

Yn olaf, profwch y cyflwr yr ydych ei eisiau pan fydd y twnnel yn stopio. Dylai twnnel llawn fethu ar gau ar gyfer y traffig y mae’n ei honni: os yw’r rhyngwyneb yn mynd i lawr ac mae rhaglenni yn parhau’n dawel dros y cyswllt corfforol, mae’r dyluniad yn dwnnel hollt gyda chamau ychwanegol. Ysgrifennwch yr ymddygiad methiant arfaethedig, gwiriwch ef yn fwriadol, a gorffennwch drwy gofnodi’r pedwar ateb — pa reolwr sy’n codi’r rhyngwyneb, pa lwybr sy’n cario’r rhagosodedig, pwy sy’n anfon ymlaen ac yn cyfieithu ar y porth, a pha ddatryswr sy’n ateb.