Lês in WireGuard-konfiguraasje rigel foar rigel, fan Interface oant Peer

De measte stikene WireGuard-konfiguraasjes hawwe gjin ferkearde wearde; se sette de juste wearde oan 'e ferkearde kant. In partikuliere kaai heart by dizze masine, in peer draacht de publike kaai fan 'e oare masine, en in adres sit yn it interface-blok al beskriuwt it wêr't de tunnel wennet. Lês it bestân as twa rjochtingen dy't inoar treffe, en kontrolearje dan wat it helpskript der boppe-op tafoege hat. It protokol sels hat minder fjilden as it bestân, en de ekstra binne apart te kennen wurdich.

Interface-kaaien beskriuwe dizze masine

It interface-blok hâldt de eigen identiteit fan dit einpunt. PrivateKey is dy identiteit en ferlit nea de host; de byhearrende publike kaai wurdt derút ôflaat en dat is wat oare peers neame. ListenPort is wêr't dizze kant hânskoddingen ûntfangt, dus twa kliïnten efter ien adres hawwe ferskillende poarten nedich.

Address is it tunneladres wêr't dizze host op antwurdet, skreaun mei in foarheaksel lingte om't it ek de boarne is dy't er brûke sil. It foarheaksel hjir ferkeard dwaan feroaret hokker bestimmingen de host as direkt ferbûn beskôget, en dat jout flaters dy't op rûtering lykje ynstee fan konfiguraasje.

Al it oare yn in [Interface] blok mei in echte kliïnt wurdt meastentiids tafoege troch wg-quick: DNS, MTU, Table, en de heakrigels. It binne gjin protokolfjilden, en in neaken wg opset negearret se folslein.

Elke peer-yngong beskriuwt ien oare kant

In [Peer] blok is de fjirde partij. PublicKey is de ôflate kaai fan dy partij, nea har partikuliere kaai, en PresharedKey is in opsjoneel ekstra geheim dat beide kanten identyk hâlde moatte. Endpoint is wêr't te stjoeren, en PersistentKeepalive freget dizze host om in pakket te stjoeren nei it ynterval as der fierder neat út giet.

Twa flaters ferklearje it measte fan 'e betizing hjir. Jo eigen partikuliere kaai yn in peer-blok kopiearje makket dat de beide einen ien identiteit diele, en de hânskodding mislearret op in wize dy't min logt. Endpoint fuortlitte op in kliïnt is meastentiids opsetlik, om't de server it adres út 'e ynkommende hânskodding leart; it fuortlitte op in server dy't begjinne moat is dat net. Tink der ek om dat keepalive in NAT-ôfbylding iepen hâldt, en it ferbetteret de trochset net en ferminderet de latency net, dus tritich sekonden ekstra pakketten keapje neat as it ferkear al rint.

AllowedIPs is rûtering, gjin tastimminglist

AllowedIPs is WireGuard syn kryptokaai-rûtering. Utgeand beslút it hokker peer in pakket krijt op grûn fan syn bestimming. Yngeand beslút it oft in pakket dat fan dy peer komt akseptearre wurdt op grûn fan syn boarne. Itselde fjild docht beide taken, dêrom is it gjin tagongskontrôlelist en gjin list fan tastiene websiden.

In smelle AllowedIPs op 'e server foar in kliïnt betsjut dat de server allinnich pakketten akseptearret dy't dy boarnen beweare, en allinnich dy bestimmingen nei dy kliïnt stjoert. Ferbreedzje ien kant sûnder de oare te ferbreedzjen, en jo krije in tunnel dy't omheech komt en neat trochlitten.

Wat wg-quick om it protokol hinne tafoeget

wg-quick lêst itselde bestân en docht de netwurkstappen dy't it protokol oan it bestjoeringssysteem oerlitten hat. It jout it interface-adres ta, foeget rûtes ta dy't ôflaat binne fan AllowedIPs, skriuwt de resolver-ynstellingen en fiert de heakkommando's yn folchoarder út.

Dy laach ferklearret de klassike asymmetry. In bestân mei 0.0.0.0/0 en in DNS rigel jout in kliïnt in standertrûte en in resolver, en it docht hielendal neat oan 'e trochstjoer- of NAT-regels fan 'e server. Dy hearre by de eigen konfiguraasje fan 'e server, en gjin kliïntbestân kin se leverje.

Hâld ien eigner by it bestân. It mei de hân bewurkje wylst SaveConfig ynskeakele is, betsjut dat jo bewurking ferdwynt de folgjende kear dat it interface delgiet, en it interface sil jo net fertelle dat it bard is.

Kontrolearje de tapaste tastân, net it bestân

It bestân is in bedoeling. De tapaste tastân is wat de kernel hâldt, en se wyke ôf wannear't in helpmiddel, in drop-in of in heak nei aktivaasje wat bewurke hat.

Lês de libbene tastân en de adressearring tegearre, en fergelykje dan beide mei wat jo skreaun hawwe:

sudo wg show
ip -4 addr show dev wg0
ip -4 route show dev wg0
grep -v "^#" /etc/wireguard/wg0.conf

As de peer-list leech is, waard it interface oanmakke sûnder dat syn konfiguraasje tapast waard. As adressen en rûtes besteane mar de tellers op nul bliuwe, is it bestân laden en mislearret de hânskodding, wat in kaai- of einpuntprobleem is en gjin probleem fan seksje-oarder. Fergelykje de twa werjeften foar it bewurkjen, want it gat dertusken is meastentiids de echte flater.