Kaks WireGuardi peeri jagavad vahemikku: kumb paketi saab

Kaks peeri loetlevad vahemikke, mis puutuvad kokku, ja liiklus jõuab vale peerini. Miski pole rikutud: WireGuard valib peeri, sobitades sihtkoha konfigureeritud vahemikega, ja võidab kõige täpsem vaste. Enne kui midagi laiendate, otsustage, milline peer peaks millist prefiksit omama.

Pikim prefiks võidab WireGuardi sees

Iga peeri kirje kannab sihtprefiksite hulka. Kui pakett suunatakse liidesesse, otsib teostus kirjet kõige täpsema sobiva prefiksiga — sama reegel, mida rakendab marsruutimistabel. Seega /24 võidab /16, mis seda sisaldab, ja kitsam peer saab liikluse.

Road-warrior seadistused kasutavad seda tahtlikult. Üks peer omab saidi jaoks laia vahemikku ja üksikud hostid lõigatakse välja /32 kirjetega, mis kuuluvad teistele peeridele. Muster töötab, sest väljalõiked on täpsemad, mitte järjestuse tõttu.

Kirjutage omandus üles prefiksi ja peeri tabelina. Kui kaks kirjet kirjeldavad sama prefiksit, ei väljenda konfiguratsioon enam kavatsust, vaid võidujooksu.

Operatsioonisüsteem valib esmalt liidese

WireGuard valib ainult ühe liidese peeride hulgast. Millise liidese pakett saab, otsustatakse varem hosti marsruutimistabeli poolt, ja teine vaikemarsruut või aegunud marsruut võib saata liikluse sinna, kus peeride loend seda kunagi ei näe. Seetõttu võib peeritasandi diagnoos olla õige ja ikkagi mitte seletada tõrget. Kontrollige sihtkoha marsruuti enne peeri konfiguratsiooni lugemist, sest füüsilisele liidesele osutav marsruut möödub kogu küsimusest.

Tööriist paigaldab need marsruudid tavaliselt peeride vahemikest, mis tähendab, et ühe peeri loendi muutmine võib vaikselt ümber suunata liikluse, mis varem kuulus teisele. Peeri muutmine on seega maskeeritud marsruudimuudatus. Vaadake mõlemat korraga üle, muidu parandate ühe ja rikute teise.

Sissetulevad paketid kontrollitakse allika järgi

Vahemike loend täidab kahte rolli. Väljuva liikluse jaoks valib see peeri sihtkoha järgi ja sissetuleva liikluse jaoks volitab allikaaadressi. Pakett, mis saabub väljastpoolt selle peeri vahemikke, visatakse kõrvale enne, kui ükski tulemüür seda näeb.

Seda asümmeetriat on lihtne mööda vaadata, kui loete konfiguratsiooni ühte poolt. Peer, mis pääseb alavõrku, ei ole sellega volitatud sealt alavõrgust saatma, ja mõlemat suunda rakendavad erinevad kontrollid.

Kitsas allikaomandus muudab selle eeliseks. Andke igale peerile tema enda aadressi jaoks /32 ja allavoolu tulemüüril on usaldusväärne allikas, millega sobitada, mitte kogu gruppi hõlmav vahemik, mida iga liige võiks nõuda.

Dubleeritud vahemikud ei ole failover

Sama prefiksi määramine kahele peerile ei loo koormusjaoturit ega varuteed. Puudub tervisekontroll ja sessioonipüsivus: võitva kirje määrab teostuse sisemine järjestus, mis ei ole leping, mille järgi peaksite projekteerima. Kui vajate alternatiivseid väljapääsusid, väljendage neid seal, kus valik on määratletud. Marsruutimispoliitika, mõõdik või paar erinevat prefiksit, kummalgi dokumenteeritud omanik, annavad käitumise, mida saate ennustada ja testida.

Vahemiku laiendamine mitteseotud tõrke parandamiseks on teine tavaline viga. See viib liikluse eemale peerist, mis töötas, ja uus sümptom saabub enne, kui vana on mõistetud.

Kontrollige valikut enne muutmist

Kolm käsku vastavad kolmele küsimusele järjekorras. Esimene loetleb vahemikud, mida iga peer nõuab. Teine näitab, millist liidest host sihtkoha jaoks kasutaks. Kolmas näitab peeride reaalajas olekut pärast liikluse läbimist.

wg show wg0 allowed-ips
ip route get 10.66.8.20
wg show wg0
ip rule show

Käivitage need enne ja pärast muudatust ning võrrelge. Kui marsruudi väljund muutus, aga liiklus jõuab endiselt vale peerini, kattuvad prefiksite loendid viisil, mida te pole veel kirja pannud. Kui marsruudi väljund ei muutunud, ei olnud peeri konfiguratsioon kunagi see, mida küsiti.

Märkige piletisse sihtkoht, valitud liides ja valitud peer. Just see kolmik teeb kattuvuse hiljem ülevaatatavaks ja on palju kasulikum kui konfiguratsiooni ekraanipilt.