Kaksi WireGuard-peeriä jakaa alueen: kumpi saa paketin
Päällekkäiset alueet ratkaistaan tarkimmalla etuliitteellä, ei järjestyksellä. Tarkista ensin reitti ja sitten peer-luettelo, ennen kuin laajennat mitään.
Kaksi peeriä luettelee alueita, jotka koskettavat toisiaan, ja liikenne päätyy väärälle. Mikään ei ole vaurioitunut: WireGuard valitsee peerin sovittamalla kohteen määritettyihin alueisiin, ja tarkin osuma voittaa. Ennen kuin laajennat mitään, päätä, minkä peerin kuuluu omistaa mikä etuliite.
Pisin etuliite voittaa WireGuardin sisällä
Jokainen peer-merkintä kantaa joukon kohde-etuliitteitä. Kun paketti reititetään rajapintaan, toteutus etsii merkinnän, jossa on tarkin vastaava etuliite — sama sääntö, jota reititystaulu soveltaa. Siksi /24 voittaa /16:n, joka sisältää sen, ja kapeampi peer vastaanottaa liikenteen.
Road-warrior-asennukset käyttävät tätä tahallaan. Yksi peer omistaa laajan alueen sivustolle, ja yksittäiset isännät erotetaan /32-merkinnöillä, jotka kuuluvat muille peereille. Kuvio toimii, koska erotukset ovat tarkempia, ei järjestyksen takia.
Kirjoita omistajuus taulukkona etuliitteestä ja peeristä. Jos kaksi merkintää kuvaa samaa etuliitettä, kokoonpano ei enää ilmaise aikomusta, se ilmaisee kilpajuoksua.
Käyttöjärjestelmä valitsee rajapinnan ensin
WireGuard valitsee vain yhden rajapinnan peereistä. Mikä rajapinta paketin saa, päätetään aiemmin isännän reititystaulussa, ja toinen oletusreitti tai vanhentunut reitti voi lähettää liikenteen sinne, missä peer-luettelo ei näe sitä koskaan. Siksi peer-tason diagnoosi voi olla oikein eikä silti selitä vikaa. Tarkista reitti kohteeseen ennen peer-kokoonpanon lukemista, koska fyysiseen rajapintaan osoittava reitti ohittaa koko kysymyksen.
Työkalu asentaa yleensä ne reitit peer-alueista, mikä tarkoittaa, että yhden peerin luettelon muutos voi hiljaa ohjata uudelleen liikennettä, joka aiemmin kuului toiselle. Peerin muokkaus on siis naamioitu reittimuutos. Tarkista molemmat kerralla, tai korjaat toisen ja rikot toisen.
Saapuvat paketit tarkistetaan lähteen perusteella
Alueluettelo palvelee kahta tarkoitusta. Lähtevälle liikenteelle se valitsee peerin kohteen perusteella, ja saapuvalle liikenteelle se valtuuttaa lähdeosoitteen. Paketti, joka saapuu osoitteesta kyseisen peerin alueiden ulkopuolelta, pudotetaan ennen kuin mikään palomuuri näkee sen.
Tämä epäsymmetria on helppo jättää huomaamatta, kun lukee kokoonpanon toista puolta. Peer, joka voi tavoittaa aliverkon, ei siten saa lähettää siitä aliverkosta, ja molemmat suunnat toteutetaan eri tarkistuksilla.
Kapea lähdeomistajuus muuttaa tämän eduksi. Anna jokaiselle peerille /32 sen omalle osoitteelle, niin alapuolen palomuuri saa luotettavan lähteen sovitettavaksi ryhmänlaajuisen alueen sijaan, jota kuka tahansa jäsen voisi vaatia.
Päällekkäiset alueet eivät ole failover
Saman etuliitteen antaminen kahdelle peerille ei luo kuormantasainta eikä varapolkua. Ei ole terveystarkistusta eikä istuntoaffiniteettia: voittavan merkinnän päättää toteutuksen sisäinen järjestys, mikä ei ole sopimus, jonka varaan kannattaisi suunnitella. Jos tarvitset vaihtoehtoisia uloskäyntejä, ilmaise ne siellä, missä valinta määritellään. Reitityskäytäntö, metriikka tai pari erillistä etuliitettä, joilla kullakin on dokumentoitu omistaja, tuottavat käyttäytymisen, jonka voit ennustaa ja testata.
Alueen laajentaminen liittymättömän vian korjaamiseksi on toinen yleinen virhe. Se siirtää liikennettä pois peeriltä, joka toimi, ja uusi oire saapuu ennen kuin vanha on ymmärretty.
Vahvista valinta ennen muokkausta
Kolme komentoa vastaa kolmeen kysymykseen järjestyksessä. Ensimmäinen luettelee alueet, joita kukin peer vaatii. Toinen näyttää, mitä rajapintaa isäntä käyttäisi kohteeseen. Kolmas näyttää peerien reaaliaikaisen tilan liikenteen kuljettua.
wg show wg0 allowed-ips ip route get 10.66.8.20 wg show wg0 ip rule show
Aja ne ennen muutosta ja sen jälkeen ja vertaa. Jos reitin tuloste muuttui mutta liikenne saapuu edelleen väärälle peerille, etuliiteluettelot menevät päällekkäin tavalla, jota et ole vielä kirjoittanut. Jos reitin tuloste ei muuttunut, peer-kokoonpano ei ollut koskaan se, mitä kysyttiin.
Kirjaa tikettiin kohde, valittu rajapinta ja valittu peer. Juuri tämä kolmikko tekee päällekkäisyydestä myöhemmin tarkistettavan, ja se on paljon hyödyllisempi kuin kuvakaappaus kokoonpanosta.