Irakurri WireGuard konfigurazio bat lerroz lerro, Interface-tik Peer-era

WireGuard konfigurazio hautsiek ez dute balio batean huts egiten; balio zuzena alde okerrean jartzen dute. Giltza pribatu bat makina honena da, peer batek beste makinaren giltza publikoa darama, eta helbide bat interface blokean esertzen da tunelak non bizi den deskribatzen duen arren. Irakurri fitxategia elkartzen diren bi norabide bezala, eta gero egiaztatu zer gehitu zuen gainean laguntza-scriptak. Protokoloak berak fitxategiak baino eremu gutxiago ditu, eta gehigarriak bereiz ezagutzea merezi du.

Interface giltzek makina hau deskribatzen dute

Interface blokeak mutur honen identitatea gordetzen du. PrivateKey identitate hori da eta ez du inoiz host-a uzten; hortik eratortzen da dagokion giltza publikoa, eta beste peer-ek horixe zerrendatzen dute. ListenPort alde honek eskuko agurrak jasotzen dituen lekua da, beraz helbide baten atzeko bi bezerok portu ezberdinak behar dituzte.

Address host honek erantzuten duen tunelaren helbidea da, aurrizki-luzerarekin idatzita, erabiliko duen iturria ere bera izango delako. Aurrizkia hemen gaizki jartzeak aldatzen du host-ak zein helmuga uste dituen zuzenean lotuta, eta horrek konfigurazio itxura ez duten bideratze-hutsegiteak sortzen ditu.

Benetako bezero batekin [Interface] blokean gainerako guztia normalean wg-quick-ek gehitzen du: DNS, MTU, Table, eta kako-lerroak. Ez dira protokolo-eremuak, eta wg konfigurazio huts batek erabat alde batera uzten ditu.

Peer sarrera bakoitzak beste alde bat deskribatzen du

[Peer] bloke bat urrutiko aldea da. PublicKey alde horren eratorritako giltza da, inoiz ez haien giltza pribatua, eta PresharedKey bi aldeek berdin eduki behar duten aukerako sekretu gehigarria da. Endpoint nora bidali den da, eta PersistentKeepalive host honi eskatzen dio tartearen ondoren pakete bat bidaltzeko beste ezer irteten ez denean.

Hemen nahasmenaren zatirik handiena bi hutsegitek azaltzen dute. Zeure giltza pribatua peer bloke batean kopiatzeak bi muturrak identitate batean partekatzera behartzen ditu, eta eskuko agurrak txarto erregistratzen den moduan huts egiten du. Endpoint bezero batean kanpoan uztea normalean nahita egiten da, zerbitzariak helbidea sarrerako eskuko agurretik ikasten duelako; hasi behar duen zerbitzari batean kanpoan uztea ez da hori. Gogoan izan keepalive-k NAT mapatzea irekita mantentzen duela, eta ez duela bideragarririk hobetzen ez latentzia murrizten, beraz hogeita hamar segundo pakete gehigarrik ez dute ezer erosten trafikoa jadanik doanean.

AllowedIPs bideratzea da, ez baimen-zerrenda

AllowedIPs WireGuard-en kriptogiltza bideratzea da. Irteeran, helmugaren arabera erabakitzen du zein peer-ek jasoko duen paketea. Sarreran, iturriaren arabera erabakitzen du peer horretatik datorren paketea onartuko den. Eremu berak bi lanak egiten ditu, horregatik ez da sarbide-kontrol zerrenda eta ez da baimendutako webguneen zerrenda.

AllowedIPs estuak zerbitzarian bezero batentzat esan nahi du zerbitzariak iturri horiek aldarrikatzen dituzten paketeak baino ez dituela onartuko, eta helmuga horiek baino ez dizkiola bezero horri bidaliko. Zabaltzen baduzu alde bat bestea zabaldu gabe, altxatzen den eta ezer pasatzen ez duen tunel bat lortuko duzu.

Zer gehitzen du wg-quick-ek protokoloaren inguan

wg-quick fitxategi bera irakurtzen du eta protokoloak sistema eragileari uzten dizkion sare-urratsak egiten ditu. Interface helbidea esleitzen du, AllowedIPs-tik eratorritako bideak gehitzen ditu, resolver ezarpenak idazten ditu eta kako-komandoak ordenan exekutatzen ditu.

Geruza horrek klasikoa den asimetria azaltzen du. Fitxategi batek 0.0.0.0/0 eta DNS lerro batekin bezeroari defektuzko bidea eta resolver bat ematen dizkio, eta zerbitzariaren birbidaltze edo NAT arauei ezer ez die egiten. Horiek zerbitzariaren beraren konfiguraziokoak dira, eta inongo bezero-fitxategik ezin ditu eman.

Eduki jabe bakarra fitxategirako. Eskuz editatzea SaveConfig gaituta dagoen bitartean esan nahi du zure edizioa desagertu egingo dela interface-a hurrengoan jaisten denean, eta interface-ak ez dizu esango hori gertatu denik.

Egiaztatu aplikatutako egoera, ez fitxategia

Fitxategia asmoa da. Aplikatutako egoera kernelak mantentzen duena da, eta desadostasun egiten dute laguntzaile batek, drop-in batek edo kako batek aktibatu ondoren zerbait editatu duen bakoitzean.

Irakurri zuzeneko egoera eta helbideratzea elkarrekin, eta gero biak konparatu idatzi duzunarekin:

sudo wg show
ip -4 addr show dev wg0
ip -4 route show dev wg0
grep -v "^#" /etc/wireguard/wg0.conf

Peer zerrenda hutsik badago, interface-a bere konfigurazioa aplikatu gabe sortu zen. Helbideak eta bideak badaude baina kontagailuak zerotik ez badira mugitzen, fitxategia kargatu zen eta eskuko agurra huts egiten ari da, eta hori giltza edo muturraren arazoa da, ez atalen ordenarena. Konparatu bi ikuspegiak editatu aurretik, haien arteko aldea izan ohi da benetako hutsegitea.