WireGuard: bi erdi bide 0.0.0.0/0-ren aurka wg-quick-en

Bi /1 aurrizkik /0 bakar batek bezalako IPv4 helbide berberak estaltzen dituzte, eta berdintasun hori peer-aren baimendutako aurrizkien zerrendaren barruan baino ez da betetzen. Konfigurazio-tresnak nola bideratu erabakitzen duen unean uzten du betetzen, Linux-eko wg-quick-k aurrizki lehenetsia kasu berezi gisa tratatzen duelako, eta ez aritmetika gisa. Adar bereziak taula dedikatu bat, bi politika-arau, socket-marka bat eta alderantzizko bidearen ezarpenak instalatzen ditu, erdi bide pare batek inoiz jasotzen ez dituenak. Beraz, aldaketaren ondoren proxy edo nabigatzaile bat funtzionatzeari uzten dionean, aurrizkiak aldaketaren zati interesik gutxiena dira.

Aurrizki-zerrenda ez da konfigurazio osoa

AllowedIPs-k bi lan egiten ditu aldi berean, eta horietako bat baino ez da estaldurari buruzkoa. WireGuard-en beraren kasuan zerrenda gako kriptografikoko bideratzea da: zein helmuga peer baterantz zifratzen diren eta peer horrek zein iturburu-helbide erabil ditzakeen erabakitzen du. wg-quick-rentzat zerrenda berak bide-espezifikazio gisa ere balio du, eta sortzen duen bideak zerrendak kasualitatez zein adar betetzen duen araberakoa da. Beraz, bi zerrenda-forma ezberdinetan estaldura berbera izateak ez du ezer esaten host-egoera berberari buruz.

Konfigurazio lehenetsiak erabaki hori zure eskutik kentzen du, Table lehenespenez automatikoa baita eta tresnak aukeratzen baitu non amaitzen diren bideak. Beste sare-kudeatzaile batek, banaketa-bilgarri batek edo Table balio pertsonalizatu batek emaitza berriro aldatzen du, eta horregatik host baterako idatzitako aholkua okerra irudi dezake hurrengoan.

Zer gehitzen duen adar lehenetsiak bide batetik harago

/0 sarrera batek wg-quick bere bide lehenetsira bidaltzen du: bideratze-taula bereizi batek lehenetsia jasotzen du, politika-arau batek markatu gabeko trafikoa hara bidaltzen du, bigarren arau batek taula nagusiko bide zehatzagoak autoritatibotzat jotzen ditu, eta interfazeak bere socket propioan suebaki-marka bat jasotzen du. Marka hori da begiztaren zaintzailea. Tunelaren trafikoa daramaten datagrama zifratuak marka jarrita irteten dira, eta beraz, beste guztia tunelera bideratzen duen arauak ez ditu tunelaren beraren garraio-paketeak irentsi.

/1 sarrera pare batek, aldiz, bide arrunta hartzen du. Bi bide taula konfiguratuan amaitzen dira, eta inguruko makineria guztia ez da agertzen, ez delako beharrezkoa, baizik eta kode-bide hori inoiz zapaldu ez zelako.

Non dibertitzen diren bi antolamenduak

Dibergentzia errekurtsio gisa agertzen da lehenik. Erdi bideak taula nagusian daudenean, peer-aren beraren garraio-helbidea tunel-aurrizki baten barruan erortzen da, eta beraz, tunela eraman beharko lukeen paketea tunelaren barrura seinalatzen duen bide batekin bat dator. Zerbait behar da hori salbuesteko: uneko muturrekoarentzako host-bide bat, eskuz aplikatutako marka bat edo interfazearen arau espezifiko bat. Host-bide batek funtzionatzen du muturreko helbidea aldatzen den arte, gertatzen dena DNS-ean oinarritutako muturrekin, ibiltzen diren bezeroekin eta peer anitzeko konfigurazioekin.

Bigarrenez, markei buruz arrazoitzen duen guztiak portaera aldatzen du. Konexioak lokaletik berbideratzen dituen proxy garden batek socket berriak sortzen ditu, zeinen markak eta iturburuak bezeroaren jatorrizko fluxutik desberdinak baitira, eta adar lehenetsiak sortzen dituen politika-arauak fluxu horiek bereizten zituenaren parte ziren. Proxy-aren beraren irteerako konexioa irakurtzea beste ariketa bat da jatorrizko helmuga eskuragarria den probatzea baino.

Irakurri arauak eta markak editatu aurretik

Hartu uneko egoera tunela osasuntsu dagoen bitartean, eta gero berriro aldaketaren ondoren, eta konparatu bi iraulketak konfigurazio-fitxategitik arrazoitu beharrean. Sartu politika-arauak, taula guztiak, interfazearen marka eta erregistratutako muturrak.

ip rule show
ip -4 route show table all | grep -E 'default|wg1'
wg show wg1 fwmark
wg show wg1 endpoints

Irteerako lehen lerroak markatu gabeko trafikoaren araua galdu badu eta taula dedikatua hutsik badago, adar lehenetsia ez da exekutatzen eta aurrizki-aritmetikak ez ditu bere ondorioak leheneratuko. Aurretik bat zeraman interfaze batean zero marka seinale bera da, balio bakarrean ikus daitekeena.

Probatu tunelaren galera hedatu aurretik

Erdi bideen antolamendua nahita egindako hautua bada, falta diren piezak berariaz eman behar ditu: helbide-aldaketei eusten dien muturreko bidea, tunela erortzean nahi den portaera eta IPv6-rako tratamendu baliokidea. Idatzi horiek baldintza gisa, etendura baten zehar aurkitu beharrean. Ondoren probatu hutsegitea, zeren uplink fisikora isilpean erortzen den tunel oso bat funtzionatzeari uzten dion tunel bat baino okerragoa baita.

sudo ip -4 route add 198.51.100.20/32 via 192.0.2.1 dev eth0
ip -4 route get 198.51.100.20
sudo wg-quick down wg1

Bide-kontsultak muturra interfaze fisikotik ebaztea luke, tunela zeharkatu gabe, eta interfazea jaisteak host-a diseinuak agindutako egoeran utzi beharko luke. Ordezkapenaren ondoren funtzionatzen duen proxy batek frogatzen du sortutako host-egoera garrantzitsua izan zela; ez du frogatzen begizta-saihesteak eta jaitsitako egoerako portaerak aldaketa gainditu zutenik.