WireGuard: dau hanner llwybr yn erbyn 0.0.0.0/0 yn wg-quick

Mae dau ragddodiad /1 yn cwmpasu’r un cyfeiriadau IPv4 yn union ag un /0, a dim ond y tu mewn i restr rhagddodiadau a ganiateir y cymar y mae’r cydraddoldeb hwnnw’n dal. Mae’n peidio â dal y funud y bydd yr offeryn gosod yn penderfynu sut i lwybro, oherwydd bod Linux wg-quick yn trin rhagddodiad diofyn fel achos arbennig yn hytrach nag fel rhifyddeg. Mae’r gangen arbennig yn gosod tabl penodol, dau reol bolisi, marc soced a gosodiadau llwybr gwrthdro na fydd pâr o hanner llwybrau byth yn eu cael. Felly pan fydd proxy neu borwr yn rhoi’r gorau i weithio ar ôl y golygiad, y rhagddodiadau yw’r rhan leiaf ddiddorol o’r newid.

Nid y rhestr ragddodiadau yw’r cyfan o’r ffurfweddiad

Mae AllowedIPs yn gwneud dau waith ar unwaith, a dim ond un ohonynt yn ymwneud â chwmpas. I WireGuard ei hun, y rhestr yw llwybro allwedd gryptograffig: mae’n penderfynu pa gyrchfannau a gaiff eu hamgryptio tuag at gydymaith a pha gyfeiriadau ffynhonnell y caiff y cymar hwnnw eu defnyddio. I wg-quick, mae’r un rhestr hefyd yn fanyleb llwybr, ac mae’r llwybr a gynhyrchir ganddi yn dibynnu ar ba gangen y mae’r rhestr yn digwydd cyfateb iddi. Felly nid yw cwmpas unfath ar draws dau siap rhestr gwahanol yn dweud dim am gyflwr gwesteiwr unfath.

Mae’r ffurfweddiad diofyn yn cymryd y penderfyniad hwnnw o’ch dwylo, oherwydd bod Table yn awtomatig yn ddiofyn ac mae’r offeryn yn dewis ble mae’r llwybrau’n glanio. Mae rheolwr rhwydwaith gwahanol, lapio dosbarthiad neu werth Table addasedig yn newid y canlyniad eto, a dyna pam y gall cyngor a ysgrifennwyd ar gyfer un gwesteiwr edrych yn anghywir ar y nesaf.

Beth mae’r gangen ddiofyn yn ei ychwanegu tu hwnt i lwybr

Mae cofnod /0 yn anfon wg-quick i’w lwybr diofyn: mae tabl llwybro ar wahân yn derbyn y llwybr diofyn, mae un rheol bolisi’n anfon traffig heb farc yno, mae ail reol yn cadw llwybrau mwy penodol y prif dabl yn awdurdodol, ac mae’r rhyngwyneb yn cael marc wal dân ar ei soced ei hun. Y marc hwnnw yw gwarcheidwad y ddolen. Mae’r datagramau amgryptiedig sy’n cario traffig y twnnel yn gadael gyda’r marc wedi’i osod, fel nad yw’r rheol sy’n gyrru popeth arall i’r twnnel yn llyncu pecynnau cludo’r twnnel ei hun.

Mae pâr o gofnodion /1 yn cymryd y llwybr arferol yn lle hynny. Mae dwy lwybr yn glanio yn y tabl a ffurfweddwyd, ac nid oes unrhyw ran o’r peirianwaith o gwmpas yn ymddangos, nid am ei fod yn ddiangen ond am na chafwyd mynediad i’r llwybr cod hwnnw erioed.

Lle mae’r ddau drefniant yn dargyfeirio

Mae’r dargyfeiriad yn ymddangos gyntaf fel ailadrodd. Gyda’r hanner llwybrau yn y prif dabl, mae cyfeiriad cludo’r cymar ei hun yn syrthio o fewn rhagddodiad twnnel, felly mae’r pecyn a ddylai gario’r twnnel yn cyfateb i lwybr sy’n pwyntio i mewn i’r twnnel. Rhaid i rywbeth ei esemptio: llwybr gwesteiwr ar gyfer y pen draw presennol, marc a osodwyd â llaw, neu reol sy’n benodol i ryngwyneb. Mae llwybr gwesteiwr yn gweithio nes i gyfeiriad y pen draw newid, sy’n digwydd gyda phennau draw wedi’u seilio ar DNS, cleientiaid crwydrol a ffurfweddiadau aml-gymar.

Yn ail, mae unrhyw beth sy’n rhesymu am farciau yn newid ymddygiad. Mae proxy tryloyw sy’n ailgyfeirio cysylltiadau’n lleol yn creu socedi newydd y mae eu marciau a’u ffynonellau’n wahanol i ffrwd wreiddiol y cleient, ac roedd y rheolau polisi a gynhyrchwyd gan y gangen ddiofyn yn rhan o’r hyn a ddatrysodd y ffrydiau hynny. Mae darllen cysylltiad allanol y proxy ei hun yn ymarfer gwahanol i brofi a yw’r cyrchfan wreiddiol yn gyrraeddadwy.

Darllenwch y rheolau a’r marciau cyn golygu

Cofnodwch y cyflwr presennol tra bo’r twnnel yn iach, yna eto ar ôl y newid, a chymharwch y ddau ddymp yn hytrach na rhesymu o’r ffeil ffurfweddu. Cynhwyswch y rheolau polisi, pob tabl, marc y rhyngwyneb a’r pennau draw a gofnodwyd.

ip rule show
ip -4 route show table all | grep -E 'default|wg1'
wg show wg1 fwmark
wg show wg1 endpoints

Os yw llinell gyntaf yr allbwn wedi colli’r rheol traffig heb farc ac mae’r tabl penodol yn wag, nid yw’r gangen ddiofyn yn rhedeg ac ni fydd unrhyw faint o rifyddeg rhagddodiad yn adfer ei heffeithiau. Mae marc o sero ar ryngwyneb a oedd â un o’r blaen yr un signal, i’w weld mewn un gwerth.

Ymarferwch golli’r twnnel cyn ei gyflwyno

Os mai’r trefniant hanner llwybr yw’r dewis bwriadol, rhaid iddo ddarparu’r darnau sydd ar goll yn benodol: llwybr pen draw sy’n goroesi newidiadau cyfeiriad, yr ymddygiad a fwriadwyd pan fydd y twnnel yn cwympo, a’r driniaeth gyfatebol ar gyfer IPv6. Ysgrifennwch y rhain fel gofynion yn hytrach na’u darganfod yn ystod toriad. Yna ymarferwch y methiant, oherwydd mae twnnel llawn sy’n disgyn yn dawel yn ôl i’r uplink corfforol yn waeth nag un sy’n rhoi’r gorau i weithio.

sudo ip -4 route add 198.51.100.20/32 via 192.0.2.1 dev eth0
ip -4 route get 198.51.100.20
sudo wg-quick down wg1

Dylai’r chwiliad llwybr ddatrys y pen draw allan o’r rhyngwyneb corfforol heb groesi’r twnnel, a dylai dod â’r rhyngwyneb i lawr adael y gwesteiwr yn y cyflwr a addawodd y dyluniad. Mae proxy sy’n gweithio ar ôl y disodliad yn profi bod y cyflwr gwesteiwr a gynhyrchwyd yn bwysig; nid yw’n profi bod atal dolen ac ymddygiad yn y cyflwr i lawr wedi goroesi’r golygiad.