WireGuardek datu mugikorretan funtzionatzen du, baina ez wifi berean

Tunela datu mugikorretan altxatzen da eta gero etxean konektatzen geratzen da, profil bera, peer gako bera eta tartean konfigurazio aldaketarik gabe. Ezberdintasuna bidaian dago: LANaren barrualdetik routerraren helbide publikora doan eskaera ez da internetetik iristen den eskaera bera. Etxeko pasabide gehienek ez dute itzulera-bidea inplementatzen edo protokolo jakin batzuetarako baino ez dute egiten. Horrek sintoma gako hautsia balitz bezala erakusten du, gakoan ezer mugitu ez denean. Erabaki zein bidek huts egin duen gako bat, portu-birbideratze bat edo bezero-profil bat ukitu aurretik.

Helbide bat, bi bide ezberdin

Kanpotik, pakete bat routerraren helbide publikora iristen da eta portu-birbideratze arau batek WireGuard entzuleari ematen dio barneko ostalarian. Barrutik, bezeroak helbide publiko bera markatzen du, beraz paketea bezeroarengandik irteten da, routerrera iristen da eta LANera itzuli behar da. Itzulera horretan banatzen dira bi bideak, routerrak interfaze beretik irten eta berriro sartzen den fluxu bat itzuli behar duelako. Inplementazio askok bota egiten dute itzuli beharrean, eta bezeroak orduan inoiz bidali ez zen eskuko keinu baten zain geratzen da.

Portaera horri NAT loopback edo hairpinning esaten zaio normalean, eta routerraren parte da, ez WireGuardena; RFC 4787 dokumentuak pasabide batek onar dezakeen edo ez dezakeen itzulpen-kasuak azaltzen ditu. WireGuardek berak ez du bideari buruzko iritzirik, bere interfazera iristen diren paketeak baino ez baititu ikusten. Routerrak fluxua botatzen duenean, daemonak ez du ezer jasotzen, bezeroak eskuko keinuaren denbora-muga jakinarazten du, eta zerbitzariaren erregistroa hutsik geratzen da. Erregistro huts bat, beraz, paketea non geratu zen adierazten duen arrastoa da, ez zerbitzaria hilda dagoen froga. Hori da, halaber, berrinstalatzeak ezer aldatzen ez duen arrazoia.

Alderantzizkoa ere kontatzen da: LANaren helbidetik eskuko keinu saiakera bat erakusten duen zerbitzari-erregistroak frogatzen du paketea iritsi zela eta bidea ondo dagoela, eta horrek ikerketa gaketara eta baimendutako helbideetara eramaten du. Irakurri erregistroa frogatzen duenagatik, ez ikustea espero zenuenagatik.

Birsortu ezazu ezer aldatu aurretik

Probatu kanpoko sare baimendu batetik gailu berarekin eta profil berarekin, eta gero errepikatu proba LANaren barruan ezer editatu gabe. Kanpoko eskuko keinu osatua eta barrutik gailua inoiz uzten ez duen bezeroak baldintza birsortzen dute, asmatu beharrean. Bi saiakerok profil bera erabili behar dute, bestela konparaketak ez du ezer frogatzen.

Gero begiratu helmuga-puntuaren izenak gailu honetarako zer ebazten duen. Hurrengo hiru komandoek bezeroak benetan zein helbide markatu zuen ere erakusten dute:

wg show wg0 endpoints
dig +short vpn.example.net A
resolvectl query vpn.example.net

Lehen komandoak interfazeak une honetan erabiltzen duen helmuga-puntua jakinarazten du, eta beste biek izenak makina honetan zer ebazten duen erakusten dute. Zerbitzariaren sare berean dagoen bitartean helbide publikoa markatzen duen bezeroa hairpin bidea erabiltzen ari da. LANaren helbidea markatzen duen bezeroak ez du hori egiten, eta hango hutsegitea beste ikerketa bati dagokio. Bereizketa horrek erabakitzen du hurrengo atala aplikatzen den ala ez.

Hurbileko zerbitzari bat lortzeko modu onartuak

Antolamendu garbiena horizonte zatituaren erantzun bat da: izen publikoak helbide publikora ebazten du internetarentzat eta zerbitzariaren LAN helbidera barneko bezeroentzat. Profilak helmuga-puntu izen bakarra gordetzen du eta ebazleak aukeratzen du bidea. Horrek barneko DNS erantzunaren kontrola eskatzen du, etxeko router batek normalean eskaintzen duena eta erakunde batek nahita antola dezakeena. Kontrol hori gabe, geratzen diren aukerak router funtzio bat edo bigarren profil bat dira.

Router funtzioa isla da: pasabideak barrualdetik kanporako fluxua itzultzen du eta berriro barrura bidaltzen du. Funtzionatzen duen tokian ez du bezero aldaketarik behar, eta funtzionatzen ez duen tokian bezero ezarpen batek ere ez du salbatuko. Probatu zerbitzariaren erregistroa barneko saiakera batean zehar behatuz, routerraren funtzio-zerrenda irakurri beharrean.

Profila helbide pribatu batera aldatzea diagnostikoa da, ez diseinua. Zerbitzariak LANean erantzuten duela frogatzen du, eta profil bera apurtzen du ordenagailu eramangarriak etxea uzten duen unean.

Eduki profila erabilgarri etxetik kanpo

Aukeratzen duzun bidea aukeratu, utzi identitate-egiaztapena bakean. Helmuga-puntuaren helbidea ez da peer identitatea, eta helbide aldaketa batek ez du inoiz justifikatzen kasualitatez erantzuten duen kanpoko gako publiko bat onartzea. WireGuardek gakoaren bidez autentifikatzen du, beraz ostalari oker batek eskuko keinuak huts egiten du, ustekabeko zerbaitetarako sarbidea eman beharrean.

Helbide publikoa mugitzen bada, DNS dinamikoa da izena erabilgarri mantentzen duena, eta bezeroaren freskatze-portaerak erabakitzen du aldaketak zenbat azkar egiten duen. Probatu hori kanpotik helbide aldaketa baten ondoren, LANeko kasuak ezin baitu baliozkotu. Begiratu erregistroaren bizitzaz haratago erantzun zaharra cachean gordetzen duen ebazle bat. Aurreko helbidea seinalatzen jarraitzen duen izenak behera egin zuen zerbitzari baten itxura zehatza du.

Idatzi profilak zein izen erabiltzen duen eta mugarriaren alde bakoitzean zer ebazten duen. Inork erregistratu ez duen router funtzio baten mende dagoen profila hurrengo firmware eguneratzearen zain dagoen laguntza-dei bat da. Oharrak hurrengo pertsonari esaten dio barneko hutsegite bat ezaguna den hairpin kasua den edo zerbait berria.