AllowedIPs bideratze-zerrenda da, ez suebaki-araua

Jende gehienak AllowedIPs baimen-zerrenda gisa irakurtzen du, kide batekin konektatu daitezkeen helbideen multzoa, tunel baterako idatzitako suebaki-arau baten antzekoa. Ez da hori. Eremua bi noranzkoetan lan egiten duen bideratze-taula bat da: irteerako paketearentzat kidea hautatzen du eta sarrerako baten iturburua egiaztatzen du. Sarbide-zerrenda gisa irakurtzeak inork eskatu ez duen trafikoa bideratzen duten konfigurazioak sortzen ditu.

Eremu bat, bi irakurle: irteerako hautaketa eta iturburuaren egiaztapena

Bezeroan, aurrizkiek erabakitzen dute zein helmuga joaten diren kide horrengana eta zein geratzen diren ohiko sarean. Beraz, 0.0.0.0/0-ren sarrera batek IPv4 helmuga guztiak hartzen ditu, eta horregatik tunel osoaren profila inportatzeak ohiko nabigazioa urruneko makinatik bidaltzen du. Sarrera estuagoek kontrakoa egiten dute: zerrendatu dituzun sareak soilik bideratzen dituzte eta gainerako guztia zegoen lekuan uzten dute. WireGuard dokumentazioko kriptogako bideratze atalak bi zereginak leku berean azaltzen ditu: irteerako kidearen hautaketa eta sarrerako iturburuaren egiaztapena.

Zerbitzarian, eremu berak deskribatzen du zein iturburu-helbide erabil ditzakeen kide bakoitzak. Egiaztapen kriptografikoa da, ez pakete-iragazkia: barneko iturburua kidearen zerrendarekin bat ez datorren paketea WireGuarden barruan baztertzen da ostalariaren edozein suebakik ikusi baino lehen. Bi zereginak zerrenda bakarra partekatzen dute, eta horrexegatik beste leku batetik kopiatutako zerrenda gaizki jokatzen du kontuan hartu ez duzun leku batean.

Bezeroaren blokea da nahaste gehien hasten den tokia. Tunel zatituak urruneko sareak aipatzen ditu, eta tunel osoa eremu bera da aurrizki lehenetsi batekin:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Bi formak bere horretan osoak dira, eta alternatibak dira, ez pausoak. Lehenak bi sare horiek soilik bidaltzen ditu tunelatik; bigarrenak helmuga guztiak bidaltzen ditu, eta ::/0 sarrerak IPv6 gehitzen dio IPv4 lehenetsiari. Zein aukeratu ere, aurrizki horiek dira kide horren bideratze-erabakia osoa, wg-quick ibilbideak instalatzen hasten denean.

Hub-ak beste zerrenda bat behar du

Hub batek bezero bakoitzaren tunel-helbidea ostalari-aurrizki gisa zerrendatzen du, eta bezero horren atzean benetan dagoen edozein sarea. Bezero baten zerrenda zabala hub-kide bakoitzean kopiatzeak hub-ari esaten dio kide askok helbide berberak izan ditzakeela iturburu gisa, eta hori ez da helbide-plan bat. Endpoint eremua beste geruza batekoa da erabat: kidearen kanpoko helbidea eta ataka aipatzen ditu, inoiz ez tunelaren barneko helmuga bat.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Ostalari-aurrizkiak tunel-helbidea darama eta sare-aurrizkiak bezeroaren atzean dagoena darama, eta biak behar dira. Ostalari-aurrizkirik gabe hub-ak ezin du bezeroaren beraren trafikoa itzuli, eta sare-aurrizkirik gabe atzean dagoen LAN-a iristezin geratzen da; atzean ezer ez duen kide batek ostalari-aurrizkia soilik jasotzen du.

Ibilbideen instalazioa saltzeak hutsunea uzten du

wg-quick, konfigurazio-fitxategi batetik interfazea altxatzen duen laguntzailea, interfaze-helbideak eta ibilbideak instalatzen ditu lan horren parte gisa. Table = off ezartzeak laguntzaileari ibilbide-lana saltzeko esaten dio, eta horrek ez ditu ordezkoak instalatzen eta ez du sare pribatua irisgarri egiten. Ibilbide automatikoek lana egiten dutenean, behar dituzun aurrizkiak izendatzea da konfigurazio argiagoa. Ibilbide-kudeaketa desaktibatzea eta ordezkoa idatzi gabe uztea ez da diseinua, hutsune bat da.

wg oinarrizko tresnak beste modu batera jokatzen du: interfazea konfiguratzen du eta ez du inoiz ibilbiderik ukitzen, beraz zuzenean haren gainean eraikitako ezarpenak bere ibilbide-komandoak behar ditu. Tresna baterako idatzitako argibideak okerrago ikus daitezke bestearekin jarraituz gero. Ping arrakastatsu bat ere froga ahula da, behar duzun aplikazio-bide bakoitza probatu beharrean bide bakarra probatzen baitu.

DNS-a eta IPv6-a bereiz erabakitzen dira

Egiaztatu tunelek iragartzen duen DNS zerbitzariaren helbidea, eta berretsi helbide horretara ibilbide bat dagoela aukeratu dituzun aurrizkien bidez. Ebazlearen ezarpen batek ez du ebazlea irisgarri egiten, eta tunela estutzeak isilpean ken dezake hara zihoan ibilbidea. Aztertu IPv6 ere bere kabuz, IPv4 zatiketa zuzen batek ez baitu ezer esaten oraindik esteka fisikora seinalatzen duen IPv6 ibilbide lehenetsi bati buruz. Hiru erabaki bereizi aldi berean alda daitezke kide-bloke bat editatzeko orduan.

Ondoren ireki baliabide pribatu bat eta webgune arrunt bat hasierako konfigurazio ezagun batetik. Baliabideak erantzuten badu eta nabigazioa tokiko konexiotik irteten bada oraindik, zatiketak eskatu duzuna egiten du. Nabigazioa une berean apurtzen bada, tunelak ibilbide lehenetsia hartu du eta aurrizki-zerrenda da begiratzeko lekua.