WireGuarden eskuko ukipena funtzionatzen du, baina bulegoko azpisareak ez du erantzuten

Eskuko ukipena amaitzen da, wg show azken transferentzia baten berri ematen du, eta zerbitzariaren tunel helbideak ping bati erantzuten dio. Zerbitzariaren LANeko ostalari batek ez ordea. Hiru baldintza bete behar dira aldi berean: bezeroak LAN aurrizkia tunelera bideratu behar du, zerbitzariak paketeak birbidali behar ditu, eta erantzunak itzultzeko bidea behar du. Hiruretako bat falta denean, sintoma bera da.

AllowedIPs sarbide-zerrenda eta bideratze-taula da aldi berean

Bezeroan, AllowedIPs zerrendak erabakitzen du bai pare horri zer bidal daitekeen, bai WireGuardek zein bide instalatzen dituen. Zerbitzariaren tunel helbidea soilik zerrendatzen duen pare-sarrerak ostalari-bide bat instalatzen du, beraz LANeko helmugak ez dira inoiz tunelera sartzen. LAN aurrizkia gehitzea da lehen egiaztatu beharrekoa, eta konfigurazio kopiatu baten ondoren gehien falta ohi den aldaketa ere bada. Bide lehenetsira zabaldutako pare bat diseinu desberdina da, eta bezeroaren internet trafikoa ere mugituko du.

Eduki ostalari-bidea eta LAN aurrizkia sarrera bereizi gisa. Bulegoak bi azpisare baditu, biak dagozkio zerrendari, eta falta den bigarren aurrizkiak hautakorra ematen duen hutsegitea sortzen du, ez osoa.

[Peer]
PublicKey = <server public key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.66.0.1/32, 192.168.50.0/24

Birbidalketa eta itzulpena zerbitzarian dagozkio

Zerbitzariak IP birbidalketa gaituta behar du, tunelatik iristen den trafikoa onartzen duen birbidalketa-araua, eta bere LAN interfazeranzko itzulpen-araua. Itzulpena da diseinua bulegoko sareko ostalari bakoitza ukitu gabe funtziona dezan. Orduan erantzunak zerbitzarira itzultzen dira, LANak inoiz entzun ez duen helbide batera beharrean. Hori gabe, ostalari bakoitzak tunelaren azpisarerako bidea eta hura baimentzen duen suebaki-araua behar ditu, eta hori gutxitan da onargarria beste norbaitek kudeatzen duen sare batean.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Eskuz gehitutako arauak berrabiaraztean desagertzen dira, beraz lotu itzazu interfazeari zerbitzariaren konfigurazioko hook komandoekin. Bere interfazea baino gehiago bizi den arau-multzo batek tunel bat jada existitzen ez den arren trafikoa itzultzen amaitzen duen makina da.

LANa mugitu zenean eta arauak ez

Bulegoko azpisarea berriz zenbakitzen duen router ordezkatzea hutsegite honen bertsio klasikoa da. Tunela martxan jarraitzen du, eskuko ukipena fresko jarraitzen du, eta zerbitzariaren atzean ezerk ez du erantzuten, itzulpen-arauak oraindik helbide zaharra izendatzen duelako. Instalatzaile-scriptek zerbitzariaren LAN helbidea POSTROUTING arauan sartu ohi dute, eta berriz zenbakitu ondoren helbide hori ez dago interfaze bakar batean ere. Orduan paketeak erantzun ezin duen helmuga batera berridazten dira.

iptables -t nat -n -L POSTROUTING
ip -br addr show

Konparatu bi irteerak. Interfaze-zerrendan agertzen ez den itzulpen-helburua da akatsa, eta hura konpontzea lerro bateko aldaketa da behin ikusi ondoren. Araua sortutako unitate batean bizi daiteke, WireGuard konfigurazioan beharrean, beraz kargatu berriro unitate hori editatu ondoren eta egiaztatu hurrengo abioak ez duela zure aldaketa berridatziko.

NAT atzeko bi gune elkartzeko leku bat behar dute

Bi alderdietako inork sarrerako konexioak onartzen ez dituenean, erantzun praktikoa helbide publiko bat eta bi WireGuard interfaze dituen ostalari txiki bat da. Gune bakoitza kanporantz konektatzen da, erdiko ostalariak pare bakoitzaren LANa bere AllowedIPs-en zerrendatzen du, eta birbidalketak paketeak bi tunelen artean garraiatzen ditu. Bi gunetako suebakietan ezerk ez du aldatu behar, eta horregatik diseinu hau erraz zabaltzen da.

Guneen arteko bideratzeak jatorrizko iturburu-helbideak gordetzen ditu, eta beraz ostalari bakoitzeko erregistroa esanguratsu mantentzen du. Erdiko ostalarian itzultzea errazagoa da bi LANak gainjartzen direnean, baina erregistroetan iturburu-nortasuna galtzearen kostuan. Erabaki zein propietate den garrantzitsua aukeratu aurretik.

Bereizi geruzak lau egiaztapenekin

Egin egiaztapen bat geruza bakoitzeko, hiru gauza aldatu eta espero izan beharrean. Lehenak eskuko ukipenaren adina eta pare bakoitzeko kontagailuak erakusten ditu. Bigarrenak bezeroak helmuga hori benetan tunelera bideratzen duen erakusten du. Hirugarrenak eta laugarrenak eskatutakoa iritsi zen eta politika batek iritsi ondoren baztertu zuen esaten dute.

wg show
ip route get 192.168.50.20
tcpdump -ni wg0 icmp
iptables -vnL FORWARD --line-numbers

Iristen den eta erantzunik sortzen ez duen eskaera batek erantzunaren bidea edo LANeko ostalaria seinalatzen ditu. Inoiz iristen ez den eskaera batek AllowedIPs edo bezeroaren bidea seinalatzen du. Bi emaitza horiek konponketa desberdinak behar dituzte, eta harrapaketak bereizten ditu.