WireGuard AllowedIPs: NetworkManager-ek inoiz gehitu ez zuen bidea

Esku-ematearen kontagailua eguneratzen da, interfazeak bere helbidea mantentzen du, eta beste alderdirako ping ez da inora iristen. Konbinazio horrek jendea nahasten du, lanean dabilen esku-emateak tunela prest dagoelako frogatzat jotzen delako. Ez da hala: tunela erabat negoziatuta egon daiteke eta, hala ere, trafikoa berorretara bideratzen duen biderik ez izan, eta horiek bi zeregin bereizi dira, bi egoera-zati bereizik egiten dituztenak. Konponbidea bietako zein falta den araberakoa da erabat, beraz lehen urratsa hori jakitea da.

wg-quickek biak egiten ditu inork eskatzen ez badu ere. NetworkManagerren WireGuard euskarri integratuak ere peer bideak instalatzen ditu lehenespenez, eta horrek susmagarriak aukera desgaitu batera, bideratze-taula ezberdin batera edo beste zerbaiten bidez inportatutako konfigurazio batera murrizten ditu.

Berretsi tunela bideari jarraitu aurretik

Jo wg show eta interfazea, peera, mutur-puntua eta azken esku-ematearen adina ikusiko dituzu; ip addr show komandoak helbidea bertan dagoela berresten du. Azken esku-ematea berria izateak gakoek, mutur-puntuak eta UDP bideak funtzionatzen dutela esan nahi du. Apalduta dagoen guztia haien beheko aldean dago: bideratzea, iragazketa edo izenen ebazpena.

Gero galdetu nukleoari zer egingo lukeen benetako helmuga batekin, hipotetiko batekin beharrean: ip route get 10.42.7.9. Erantzunak irteerako interfazea eta paketeak eramango lukeen iturri-helbidea izendatzen ditu. Adaptadore fisikoa izendatzen duenean, paketea ez da sekula tunelera sartzen, esku-ematea zein osasuntsu egon ere.

AllowedIPs iragazki bat eta bide-zerrenda bat da

AllowedIPseko aurrizkiek bi zeregin dituzte. Irteerako helmuga zein peerek eramango duen hautatzen dute, eta sarrerako paketeen iturri-helbidea baliozkotzen dute, eta hori da kriptogako bideratzearen muga. wg-quicken bideen instalazio automatikoa ere gidatzen dute, eta aparteko jokabide hori da konfigurazio berak terminaletik funtzionatzen duen eta mahaigaineko bezero batetik ez duen arrazoia.

Artikulu honen atzeko kasuan, profila hirugarrenen pluginen bidez inportatu zen, ez euskarri integratuaren bidez, eta interfazea aurrizki-biderik gabe altxatu zen. Taula listatzeak berehala erakusten du: ip route show barruan interfazearen helbiderako konektatutako bidea besterik ez dago, eta ezer ez urrutiko barrutirako.

Galdetu peer bideak aktibatuta dauden ala ez

Irakurri ezarpena ezer aldatu aurretik: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. peer-routesek no erakusten duenean, onartutako konponketa nmcli connection modify work-wg wireguard.peer-routes yes da, eta gero berriz konektatzea. Horren ordez bide estatiko bat gehitzeak hurrengo aktibaziora arte funtzionatzen du eta gero isilean desagertzen da. Desagerpen hori da arrastoa: goizero misterio gisa itzultzen den bide bat ez du profilek instalatzen.

Aukera jada gaituta badago, egiaztatu aurrizkia beste taula batean bizi den ip route show table all | grep 10 erabiliz. Taula nagusian ez dagoen bide bat ez da falta, taula nagusia bakarrik kontsultatzen duen bilaketa baterako ikusezina da soilik. Zuzendu bideratze-politika, gainean erregistro bikoiztu bat pilatu beharrean.

Gehitu aurrizkia konexioari, ez sistema martxan dagoenari

Konexioen editorean, WireGuard orriak peera eta bere AllowedIPs ditu, eta IPv4 orriak aparteko bideak. Han gehitutako bide batek berriz konektatzean irauten du, profileko kidea delako. Komando lerroan baliokidea da konexioari bide bat erastea ate hutsaren formarekin, eta gero konexioa jaitsi eta igo aldaera aplikatzeko.

Hautatu behar dituzun ostalariak estaltzen dituen aurrizkirik estuena. Hornitzailearen /8 adibidea kopiatzeak bertan sartu ohi diren barruti lokalak irensteko arriskua du, eta sortutako hutsegiteak tunel hautsia ematen dute, bide luzeegia eman beharrean.

Tunel zatitua aurrizki-zerrendak erabakitzen du

Ez dago tunel zatituaren etengailurik; aurrizki-zerrenda da erabakia. Peer batek bulegoko LANerako barruti bat eta laborategiko sarerako beste bat baditu, helmuga horiek zehazki bidaltzen ditu tunelaren bidez eta gainerakoa bakean uzten du. Ostalari bakar batek /32 bat behar du, eta bi gunetan gainjartzen diren barrutiek ostalari-aurrizkiak behar dituzte norbaitek azpisare bat zenbakitzen duen arte.

Tunelaren bidez ezer bidaltzea aukeratzeak erabaki bera eramaten du muinera: zerrenda minimo batek esteka altxatuta uzten du, ohiko trafikoak bere ohiko bidea jarraitzen duen bitartean. Idatzi asmoa, bestela hurrengo irakurleak zerrenda laburra akats gisa hartuko du eta laguntzeko asmoz zabalduko du.

Jabe bakarra bide-taularako

wg-quickek eta NetworkManagerrek biak uste dute interfazearen bideak berenak direla. Inportatu wg-quickentzat idatzitako konfigurazio bat eta, gainera, abiarazi wg-quick zerbitzua, eta azkenak zein exekutatu izan den arabera jokatzen duten erregistro bikoiztuak edo gatazkatsuak lortuko dituzu. Aukeratu jabe bakarra eta kendu bestea: NetworkManagerrek konexioa kudeatzen badu, desgaitu interfaze horretako wg-quick unitatea, eta ez gehitu inoiz profil bigarrenik gailu bererako.

Zatiketak adaptadore fisiko bat jarraitu behar duenean, helmuga bat ez baina, bideratze-politikara pasatu zara, eta bideratze-politikak egile bakarra behar du. Egiaztatu ip route get errepikatuz, eta gero urrutiko aurrizkiaren barneko ostalari batera iritsiz aukeratu zuen iturri-helbidea inprimatzen duen zerbaiti esker. Egiaztatu IPv6 eta DNS bereizita, profilek horietako edozein badaramatza.