Bi WireGuard peer-ek tarte bat partekatzen dute: nork jasotzen du paketea
Gainjarritako tarteak aurrizkirik zehatzenak ebazten ditu, ez ordenak. Egiaztatu lehenengo bidea, gero peer zerrenda, ezer zabaldu aurretik.
Bi peer-ek ukitzen diren tarteak zerrendatzen dituzte, eta trafikoa okerrekoarengana iristen da. Ezer ez da hondatu: WireGuard-ek peer bat aukeratzen du helmuga konfiguratutako tarteekin bat etorraraziz, eta bat-etortze zehatzenak irabazten du. Ezer zabaldu aurretik, erabaki zein peer-ek zein aurrizki eduki behar duen.
Aurrizki luzeenak irabazten du WireGuard barruan
Peer erregistro bakoitzak helmuga-aurrizkien multzo bat darama. Pakete bat interfazera bideratzen denean, inplementazioak bat datozen aurrizkirik zehatzena duen erregistroa bilatzen du — bideratze-taulak aplikatzen duen arau bera. Beraz, /24 batek hura biltzen duen /16 bat gainditzen du, eta peer estuagoak jasotzen du trafikoa.
Road-warrior ezarpenek nahita erabiltzen dute hau. Peer batek gune baterako tarte zabal bat dauka, eta host individualak beste peer batzuenak diren /32 erregistroekin mozten dira. Eredua funtzionatzen du mozketak zehatzagoak direlako, ez ordenagatik.
Idatzi jabetza aurrizki eta peer taula gisa. Bi erregistrok aurrizki bera deskribatzen badute, konfigurazioak jada ez du asmo bat adierazten, lasterketa bat adierazten du.
Sistema eragileak interfazea aukeratzen du lehenengo
WireGuard-ek interfaze bakarreko peer-en artean soilik aukeratzen du. Zein interfazek jasotzen duen paketea lehenago erabakitzen da, hostaren bideratze-taulak, eta bigarren bide lehenetsi batek edo zaharkitutako bide batek trafikoa peer zerrendak inoiz ikusten ez duen tokira bidal dezake. Horregatik peer mailako diagnostiko bat zuzena izan daiteke eta hala ere hutsegitea azaldu ez. Egiaztatu helmugarako bidea peer konfigurazioa irakurri aurretik, interfaze fisikora seinalatzen duen bide batek galdera osoa saihesten baitu.
Tresnak normalean bide horiek peer tarteetatik instalatzen ditu, eta horrek esan nahi du peer baten zerrendako aldaketa batek isil-isilik berbidera dezakeela lehenago beste bati zegokion trafikoa. Peer bat editatzea, beraz, mozorrotutako bideratze-aldaketa da. Berrikusi biak batera, edo bat konpondu eta bestea hautsi egingo duzu.
Sarrerako paketeak iturriaren arabera egiaztatzen dira
Tarte-zerrendak zeregin bikoitza betetzen du. Irteerako trafikorako peer bat aukeratzen du helmugaren arabera, eta sarrerako trafikorako iturri-helbide bat baimendu egiten du. Peer horren tartetatik kanpoko helbide batetik iristen den paketea baztertu egiten da edozein firewall-ek ikusi aurretik.
Asimetria hori erraza da ahaztea konfigurazioaren alde bat irakurtzean. Azpisare bat irits dezakeen peer batek ez du horregatik azpisare horretatik bidaltzeko baimenik, eta bi noranzkoak egiaztapen desberdinek betearazten dituzte.
Iturri-jabetza estuak abantaila bihurtzen du hau. Eman peer bakoitzari /32 bat bere helbiderako, eta beheragoko firewall-ak konfiantzazko iturria izango du bat etorrarazteko, talde osoaren tarte baten ordez edozein kidek aldarrikatu lezakeena.
Tarte bikoiztuek ez dute failoverik egiten
Aurrizki bera bi peer-i esleitzeak ez du karga-orekatzaile bat edo ordezko bide bat sortzen. Ez dago osasun-egiaztapenik ezta saio-afinitaterik ere: irabazten duen erregistroa inplementazioaren barne-ordenak erabakitzen du, eta hori ez da diseinatzeko kontratua. Irteera alternatiboak behar badituzu, adierazi hautaketa definituta dagoen tokian. Bideratze-politika batek, metrika batek edo jabe dokumentatua duen aurrizki desberdinen bik jokabide aurreikus eta proba dezakezuna sortzen dute.
Tarte bat zabaltzea erlaziorik gabeko hutsegite bat konpontzeko da beste ohiko akatsa. Trafikoa ondo zihoan peer-etik urruntzen du, eta sintoma berria zaharra ulertu aurretik iristen da.
Egiaztatu hautaketa editatzen hasi aurretik
Hiru komandok hiru galderak erantzuten dituzte ordenan. Lehenak peer bakoitzak aldarrikatzen dituen tarteak zerrendatzen ditu. Bigarrenak erakusten du zein interfaze erabiliko lukeen host-ak helmuga baterako. Hirugarrenak peer-en zuzeneko egoera erakusten du trafikoa igaro ondoren.
wg show wg0 allowed-ips ip route get 10.66.8.20 wg show wg0 ip rule show
Exekutatu aldaketaren aurretik eta ondoren eta alderatu. Bidearen irteera aldatu bada baina trafikoa oraindik peer okerrengana iristen bada, aurrizki-zerrendek oraindik idatzi ez duzun moduan gainjartzen dira. Bidearen irteera aldatu ez bada, peer konfigurazioa ez zen inoiz kontsultatzen ari zena.
Erregistratu tiket-ean helmuga, aukeratutako interfazea eta aukeratutako peer-a. Hirukote horrek egiten du gainjartze bat geroago berrikusgarri, eta konfigurazioaren pantaila-argazki bat baino askoz erabilgarriagoa da.