mDNS WireGuarden gainean: hiru ate pare batek erantzun aurretik
Avahik interfaze egoki bat, talderako ibilbide bat eta helmuga duen pare bat behar ditu. Hiru ate, hiru proba bereizi eta banatzerik gabe.
WireGuard gailu batean multicast bandera ezartzeak interfazea aurkikuntza-softwarearentzat egoki bihurtzen du, eta hori da banderak egiten duen guztia. Ez dio protokoloari talde-paketea norabidera joan behar den esaten, eta pare bat baino gehiago dituen gailu batean ez dago erantzun nabarmen bakarrik. Hiru ate bereizi daude martxan dagoen daemon baten eta aurkitutako zerbitzu baten artean.
Probatu itzazu hurrenkeran, bat gainditzeak ez baitizu hurrengoari buruz ezer esaten.
Lehen atea: bandera eta daemonaren politika
Linux WireGuard gailu bat puntutik punturako esteka gisa sortzen da ARP gabe, eta ez du multicast bandera eramaten lehenespenez. Bandera gehitzea interfazearen aldaketa lokal bat da, gailua kudeatzen duen edozerk egina. Avahik horren gainean du bere mundu-ikuskera, eta haren lehenespen-politikak puntutik punturako interfazeak guztiz saltatzen ditu. Beraz, bi egokitasun-proba independente aplikatzen dira pakete bakarra mugitu aurretik.
Beraz, daemonak erabaki esplizitua behar du, ez soilik martxan dagoen prozesu bat. Bere dokumentatutako kontrolen artean allow-interfaces, deny-interfaces eta allow-point-to-point daude, eta azken hori jendeak ahazten duen ezarpena da.
Beheko probek estekaren banderak, multicast ibilbidea eta daemonaren konfigurazioa batere analizatzen den jakinarazten dute:
ip -d link show wg0
ip route get 224.0.0.251
avahi-daemon --checkArrakastaz abiatu den daemon batek ez du nahitaez zuretzat garrantzitsua den interfazean socketak ireki. Irakurri haren konfigurazio eraginkorra, zerbitzuaren egoera estalduraren berdina dela suposatu beharrean.
Bigarren atea: talderako ibilbidea
Bigarren atea bideratze arrunta da. 224.0.0.251 helbidera bidalitako pakete bat birbidalketa-taulari jarraitzen dio beste edozerk bezala, eta taulak LAN interfaze fisikoetatik bidaltzen badu, WireGuard konfigurazio batek ere ez du hori aldatuko. Konpondu lehenengo ibilbidea eta ikerketaren gainerakoa laburragoa bihurtuko da. Begiratu nukleoak talde-helbideari buruz zer jakinarazten duen pare-gakoak ukitu aurretik.
| Observation | Gate it belongs to | What it does not prove |
|---|---|---|
Multicast flag present on wg0 | Interface eligibility | The daemon will use the interface |
Route to the group via wg0 | Forwarding | Any peer will receive it |
| Destination inside a peer's allowed list | Peer selection | That peer's network will answer |
Ibilbide zehatzik gabe, nukleoa estekaren beraren multicast tratamendura itzultzen da, eta horregatik lehenespenak ondo dirudi LAN lau batean eta gaizki talde-trafiko bera tunel batetik atera behar den bezain laster. Hutsegitea isila da bidaltzailearen aldetik: kontsulta nonbaitetara doa, eta erantzuna ez da inoiz iristen.
Hirugarren atea: WireGuardek pare bat aukeratzen du paketeko
WireGuardek irteerako pare bat hautatzen du helmuga baimendutako helbide-multzoetan bilatuz, eta Linuxen transmisio-bideak bilaketa hori pakete bakoitzeko behin egiten du. Emaitza bakarra dago, eta paketea pare horretarako zifratzen da. Talde-prefix bera hainbat poren baimendutako zerrendetan agertzeak ez du kidetzarik edo erreplikaziorik sortzen; bilaketa anbiguo bat sortzen du, horietako batean ebazten dena.
Bi muturreko esteka dedikatu batean hori da hain zuzen nahi duzuna, nahita garraiatutako talde-trafikorako hartzaile bat bakarrik baitago. Bost pare dituen interfaze batean muga bat da, ez ezaugarri bat, eta konponbidea diseinuan dago, ez pare bakar baten konfigurazioan.
Adarkatze-diseinu batek errele esplizitua, esteka bereiziak edo erabat bestelako aurkikuntza-mekanismoa behar du. Bi muturreko errezeta bezero askotarako irtenbide gisa argitaratzea bezero bakoitzak atebidea pinga dezakeelako da hau gaizki hedatzeko modua.
Sarrerako noranzkoa beste modu batera egiaztatzen da: jasotako pakete baten iturburuak autentifikatutako parearen baimendutako zerrendaren barruan egon behar du. Han multicast helmuga bat gehitzeak ez du bidaltzailearen benetako iturburu-jabetza ordezkatzen.
Islatzea muga da, ez zubia
Avahiren islatzaileak mDNS mezuak hautatutako interfazeen artean erreproduzitzen ditu, aplikazio-geruzan. Sareen arteko aurkikuntza-muga bat da, ez Ethernet zubi bat eta ez multicast bideratzaile orokor bat. Sare beretara konektatutako bi islatzailek erraz sortuko dute errepikatutako iragarkien begizta bat.
Islatzeak zerbitzu-izenak eta haien metadatuak beste sare batera ere ematen ditu, eta hori pribatutasun-erabakia da bideratze-erabakia bezainbeste. Mugatu hautatutako interfazeak, eta erabili zerbitzu-iragazkiak instalatutako bertsioak onartzen dituen tokietan, baimendutako erabiltzaileak behar dituen iragarkiak soilik pasa daitezen muga.
Aurkikuntza eta erabilera emaitza bereiziak izaten jarraitzen dute. Bezero batek iragarritako helbidea bezeroaren kokapenetik iristezina den edo bere sarbide-politikak portua ukatzen duen zerbitzu baten iragarkia ikus dezake. Egiaztatu zerbitzu-konexioa iragarkia agertu ondoren, eta aplikazioak DNS izen egonkorra edo zerbitzari-helbide esplizitua onartzen badu, hobetsi hori estekako aurkikuntza lokal hedatzearen ordez. Kriptogako bideratzearen deskribapenak dena honen menpe dagoen helmugan oinarritutako pare-hautaketa hartzen du.