Mae WireGuard yn gweithio ar ddata symudol ond nid ar yr un wifi

Mae'r tiwnel yn codi ar ddata symudol ac yna'n aros ar cysylltu gartref, gyda'r un proffil, yr un allwedd cymar a dim newid cyfluniad rhyngddynt. Y gwahaniaeth yw'r daith: nid yw cais o du mewn y LAN i gyfeiriad cyhoeddus y llwybrydd yr un daith â chais sy'n cyrraedd o'r rhyngrwyd. Mae'r rhan fwyaf o giâtiau cartref naill ai'n peidio â gweithredu'r llwybr dychwelyd neu'n ei weithredu dim ond ar gyfer protocolau penodol. Mae hynny'n gwneud i'r symptom edrych fel allwedd wedi torri pan nad oes dim wedi symud yn yr allwedd. Penderfynwch pa lwybr a fethodd cyn cyffwrdd ag allwedd, anfon porth neu broffil cleient.

Un cyfeiriad, dau lwybr gwahanol

O'r tu allan, mae pecyn yn cyrraedd cyfeiriad cyhoeddus y llwybrydd ac mae rheol anfon porth yn ei drosglwyddo i wrandawr WireGuard ar y gwesteiwr mewnol. O'r tu mewn, mae'r cleient yn deialu'r un cyfeiriad cyhoeddus, felly mae'r pecyn yn gadael y cleient, yn cyrraedd y llwybrydd ac yn gorfod cael ei droi yn ôl tuag at y LAN. Yn y tro hwnnw y mae'r ddau lwybr yn gwahanu, oherwydd bod yn rhaid i'r llwybrydd gyfieithu fflŵs sy'n gadael ac yn ail-fynd i mewn trwy'r un rhyngwyneb. Mae llawer o weithrediadau'n ei ollwng yn lle ei gyfieithu, ac mae'r cleient wedyn yn aros am ysgydwad llaw na chafodd ei anfon erioed.

Gelwir yr ymddygiad fel arfer yn NAT loopback neu hairpinning, ac mae'n perthyn i'r llwybrydd yn hytrach nag i WireGuard; mae RFC 4787 yn nodi'r achosion cyfieithu lle y gall ciât gefnogi hyn neu beidio. Nid oes gan WireGuard ei hun farn am y llwybr, oherwydd dim ond pecynnau sy'n cyrraedd ei ryngwyneb y mae'n eu gweld. Pan fydd y llwybrydd yn gollwng y fflŵs, ni fydd y daemon byth yn derbyn dim, mae'r cleient yn adrodd am derfyn amser ysgydwad llaw, ac mae log y gweinydd yn aros yn wag. Mae log gwag felly'n gliw i ble y stopiodd y pecyn, nid yn brawf bod y gweinydd i lawr. Dyma hefyd y rheswm pam nad yw ailosod yn newid dim.

Mae'r gwrthwyneb yn cyfrif hefyd: mae log gweinydd sy'n dangos ymgais ysgydwad llaw o gyfeiriad y LAN yn profi bod y pecyn wedi cyrraedd a bod y llwybr yn iawn, sy'n symud yr ymchwiliad at allweddi a chyfeiriadau a ganiateir. Darllenwch y log am yr hyn y mae'n ei brofi, nid am yr hyn y gobeithioch ei weld.

Atgynhyrchwch ef cyn newid dim

Profwch o rwydwaith allanol awdurdodedig gyda'r un ddyfais a'r un proffil, yna ailadroddwch y prawf y tu mewn i'r LAN heb olygu dim. Mae ysgydwad llaw wedi'i gwblhau y tu allan a chleient nad yw byth yn gadael y ddyfais y tu mewn yn atgynhyrchu'r cyflwr yn lle ei ddyfalu. Rhaid i'r ddau ymgais ddefnyddio'r un proffil, neu nid yw'r gymhariaeth yn profi dim.

Edrychwch wedyn ar beth mae enw'r pwynt terfyn yn datrys iddo ar gyfer y ddyfais hon. Mae'r tair gorchymyn canlynol hefyd yn dangos pa gyfeiriad y gwnaeth y cleient ei ddeialu mewn gwirionedd:

wg show wg0 endpoints
dig +short vpn.example.net A
resolvectl query vpn.example.net

Mae'r gorchymyn cyntaf yn adrodd y pwynt terfyn y mae'r rhyngwyneb yn ei ddefnyddio ar hyn o bryd, ac mae'r ddau arall yn dangos i beth mae'r enw'n datrys ar y peiriant hwn. Mae cleient sy'n deialu cyfeiriad cyhoeddus tra ei fod ar yr un rhwydwaith â'r gweinydd yn arfer y llwybr hairpin. Nid yw cleient sy'n deialu cyfeiriad y LAN yn gwneud hynny, ac mae methiant yno'n perthyn i ymchwiliad arall. Mae'r gwahaniaeth hwnnw'n penderfynu a yw'r adran nesaf yn gymwys o gwbl.

Ffyrdd a gefnogir o gyrraedd gweinydd agos

Y trefniant glanaf yw ateb gorwel hollt: mae'r enw cyhoeddus yn datrys i'r cyfeiriad cyhoeddus ar gyfer y rhyngrwyd ac i gyfeiriad LAN y gweinydd ar gyfer cleientiaid y tu mewn. Mae'r proffil yn cadw un enw pwynt terfyn ac mae'r datryswr yn dewis y llwybr. Mae hynny'n gofyn am reolaeth dros yr ateb DNS mewnol, y mae llwybrydd cartref fel arfer yn ei gynnig ac y gall sefydliad ei drefnu'n fwriadol. Heb y rheolaeth honno, y dewisiadau sy'n weddill yw nodwedd llwybrydd neu ail broffil.

Nodwedd y llwybrydd yw adlewyrchiad: mae'r giât yn cyfieithu'r fflŵs o'r tu mewn i'r tu allan ac yn ei anfon yn ôl i mewn. Lle mae'n gweithio nid oes angen unrhyw newid ar y cleient, a lle nad yw'n gweithio ni fydd unrhyw osodiad cleient yn ei achub. Profwch ef drwy wylio log y gweinydd yn ystod ymgais fewnol yn lle darllen rhestr nodweddion y llwybrydd.

Mae golygu'r proffil i gyfeiriad preifat yn ddiagnosis, nid yn ddyluniad. Mae'n profi bod y gweinydd yn ateb ar y LAN, ac mae'n torri'r un proffil y funud y bydd y gliniadur yn gadael y tŷ.

Cadwch y proffil yn ddefnyddiol oddi cartref

Pa lwybr bynnag a ddewiswch, gadewch y gwiriad hunaniaeth yn llonydd. Nid yw cyfeiriad y pwynt terfyn yn hunaniaeth y cymar, ac nid yw newid cyfeiriad byth yn cyfiawnhau derbyn allwedd gyhoeddus estron sy'n digwydd ateb. Mae WireGuard yn dilysu drwy'r allwedd, felly mae gwesteiwr anghywir yn methu'r ysgydwad llaw yn lle rhoi mynediad i rywbeth annisgwyl.

Os bydd y cyfeiriad cyhoeddus yn symud, DNS dynamig yw'r hyn sy'n cadw'r enw'n ddefnyddiol, ac mae ymddygiad adnewyddu'r cleient yn penderfynu pa mor gyflym y daw'r newid i law. Profwch hynny o'r tu allan ar ôl newid cyfeiriad, oherwydd ni all achos y LAN ei ddilysu. Gwyliwch am ddatryswr sy'n cadw'r hen ateb yn y cache y tu hwnt i oes y cofnod. Mae enw sy'n dal i bwyntio at y cyfeiriad blaenorol yn edrych yn union fel gweinydd a aeth i lawr.

Nodwch pa enw y mae'r proffil yn ei ddefnyddio ac i beth y mae'n datrys ar bob ochr i'r ffin. Mae proffil sy'n dibynnu ar nodwedd llwybrydd nad oes neb wedi'i chofnodi yn alwad cymorth sy'n aros am y diweddariad cadarnwedd nesaf. Y nodyn hefyd yw'r peth sy'n dweud wrth y person nesaf a yw methiant mewnol yn achos hairpin hysbys neu'n rhywbeth newydd.