WireGuard tunel osoa: AllowedIPs 0.0.0.0/0 ez da nahikoa

Bikote baten AllowedIPs-en 0.0.0.0/0, ::/0 jartzea denok gogoratzen dugun urratsa da, eta bikoteak zer trafiko eraman dezakeen baino ez du erabakitzen. Aurrizki horiek ez dute rutilik sortzen, ez dute ezer birbidaltzen beste aldean, eta aplikazio bakoitzaren ebazlea zegoen tokian bertan uzten dute. Lau gauza bereizik aldi berean bete behar dute tunel osoa tunel osoa izan dadin, eta hobe da beheko ordenan egiaztatzea, geroagoko egiaztapen batek ez baitu lehenagoko bat salbatzen. Beheko egiaztapen bakoitza makinatik irakur daitekeen egitate bat da, aplikatu dela espero duzun ezarpen bat ez bezala.

Zer aukeratzen duen bikotearen aurrizkiak, eta zer ez

AllowedIPs hautatzailea eta baimena da aldi berean. Tokiko aldearekin esaten du zein helmugara bidal daitezkeen bikote honi, eta harrera aldearekin esaten du zein iturburu-helbide aurkez ditzakeen bikote honek. Hori da lan osoa. Deskribapen horretan ezerk ez du hostean ruta sortzen, ez du urrutiko aldean birbidalketa gaitzen, ez eta izenen ebazpena ukitzen.

Horregatik konfigurazio bat osoa izan daiteke eta tunel zatitu gisa jokatu. Aurrizkiak dio bikoteak dena onartuko lukeela; hostaren bideratze-taulak erabakitzen du benetan zer iristen den hara, eta pasabideak erabakitzen du ea ezer ateratzen den. Hiru erabaki horietako bat ere ez da bikotearen atalean bizi.

Bezeroa bideratzea, bikote-zerrenda soilik ez

Adibidez, wg-quick kudeatzaileak hostaren bideratze-taula programatzen du zure ordez, eta horregatik bi konfigurazio-fitxategi berdin desberdin jokatzen dute interfazea nola igo zen arabera. Gutxieneko profil bat behin irakurtzeko adinakoa da labur:

[Interface]
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = vpn.example.net:51820

Bi xehetasek daramate lana. Address eremua host-aurrizki bakarra da, bezeroak berea dela uste duen azpisare bat izan beharrean, eta kudeatzailea da AllowedIPs lehenetsia benetako ruta lehenetsi bihurtzen duena. Igo fitxategi bera ip link eta wg setconf erabiliz, eta ez da ruta bakarra ere agertuko, hots, tunel hautsi bat dirudi eta benetan tunel osasuntsu bat da bideratze-urratsa saltatu duena. wg-quick eskuliburuak bideratzea eta Table jokabidea dokumentatzen ditu, kudeatzaile horiek eransten dutena.

Irakurri emaitza, ez fitxategia: ip route get 1.1.1.1 komandoak tunelaren interfazea izendatu beharko luke, eta wg show komandoak azken handshake bat erakutsi beharko luke transferentzia-kontagailu bat mugitzen dela. Rutarik gabeko handshake batek kudeatzailea inoiz exekutatu ez zela esan nahi du, eta profilari berriro ezer aldatzeak ez du hori konponduko. Hasi interfazea erabiltzaileak hasiko duen moduan, bestela probak zure shell-a neurtzen du hedapenaren ordez.

Muturra tunelaren kanpoan mantentzea

Tunel oso batek helmuga guztiak harrapatzen ditu, existitzeko hitz egin behar duen hura barne. Kudeatzaileek hori konpontzen dute muturrerako host-ruta bat gehituta jatorrizko pasabidearen bidez, eta horregatik konfigurazio zuzen batek ia beti nahita egindako salbuespen bat dauka. Konfigurazioaren erdia kudeatzaile batekin eta beste erdia eskuz aplikatzea da salbuespen hori galtzeko ohiko bidea.

Muturra hainbat helbidetara edo eramaten ez duzun familia batera ebazten den host-izena bada, salbuespena gaizki zahartzen da eta tunelak huts egin dezake errutinazkoa zirudien berriz konektatu ondoren. Ainguratu muturra kontrolatzen duzun helbide batera, edo baieztatu kudeatzaileak berriro ebaluatzen duela, eta irakurri berriro host-ruta sare-aldaketa bakoitzaren ondoren.

Mekanismo berak azaltzen du zergatik borrokatzen duten tunel oso batek eta atxikitze-ate batek. Atakak zure tunelak orain harrapatzen duen trafikoa atzematea espero du, beraz hotel eta aireportu sareetan tunela atakaren saio-hasieraren ondoren igotzen duzu, inoiz ez aurretik.

Birbidalketa eta itzulera-bidea pasabidean

Pasabidean, gaitu eramaten duzun familiaren birbidalketa, baimendu forward katea bi noranzkoetan itzultzen duzunean, eta berretsi itzulera-bidea iturburuari dagokion bilaketa batekin. Horietako ezerk ez du handshake arrakastatsu batetik ondorioztatzen, handshake batek bikote biak UDP trukatzeko gai direla baino ez baitu frogatzen. Ez du ezer esaten deskapsulatutako paketeari geroago zer gertatzen zaion.

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding
ip route get 1.1.1.1 from 10.8.0.2

Bilaketa pasabidean exekutatzen da, ez bezeroan, bestela beste bideratze-taula bat irakurriko duzu. Interfaze okerra izendatzen badu, edo ruta ez dagoela jakinarazten badu, orduan bezero aldeko aldaketek ez dute internet-irteerarik sortuko. Pasabideak irteeran bezeroen helbideak itzultzen dituenean, erantzuna itzulpen-egoera horren mende dago, beraz arauak fluxuaren bi noranzkoetarako egon behar du, ez irteerakoarentzat soilik.

DNSa eta hutsegite-egoera, bereiz probatuta

Protokoloak berak ez du inongo aplikazioren ebazlerik konfiguratzen. wg-quick lerroa aplikatzen du DNS banaketaren ebazle-integrazioaren bidez, beren pila propioak dituzten edukiontziek eta nabigatzaileek alde batera dezakete, eta beraz izen batek huts egin dezake tunelak paketeak primeran eraman arren. Probatu host-izen batekin, helbide batekin baino, eta idatzi zein zerbitzarik erantzun duen, profilekoak erantzun duela suposatu beharrean.

Helbide-familiak proba bereizia dira, erantzun bereiziarekin. v4 ruta lehenetsi batek ez du ezer esaten aplikazio baten v6 konexioak egingo duenari buruz, eta bigarren familia isilpean ihes egiten uzten duen tunel bat ozen huts egiten duena baino okerragoa da. Galdetu izen bat familia bakoitzaren bidez, irakurri eskaera bakoitzak erabili duen interfazea, eta egiaztatu itzulpen-kontagailuak aurretik eta ondoren, ezeri bat ez dion arau bat falta den arau baten berdin-berdina baita.

Azkenik, probatu tunela gelditzen denean nahi duzun egoera. Tunel oso batek itxita huts egin beharko luke aldarrikatzen duen trafikoarentzat: interfazea jaisten bada eta aplikazioek isilpean jarraitzen badute esteka fisikoaren gainean, diseinua urrats gehigarridun tunel zatitua da. Idatzi nahi den hutsegite-jokabidea, egiaztatu nahita, eta amaitu lau erantzunak erregistratuz — zein kudeatzailek igotzen duen interfazea, zein rutak daraman lehenetsia, nork birbidaltzen eta itzultzen duen pasabidean, eta zein ebazlek erantzuten duen.