Twa WireGuard-peers diele in berik: wa krijt it pakket

Twa peers listen berikten op dy't inoar reitsje, en ferkear berikt de ferkearde. Neat is beskeadige: WireGuard kiest in peer troch de bestimming te ferliken mei de konfigurearre berikten, en de meast spesifike oerienkomst wint. Foardat jo wat ferbrede, beslute hokker peer hokker foarheaksel besitte moat.

It langste foarheaksel wint binnen WireGuard

Elke peer-ynskriuwing draacht in set bestimmingsfoarheaksels. Wannear't in pakket nei de ynterface rûte wurdt, siket de ymplemintaasje de ynskriuwing mei it meast spesifike passende foarheaksel — deselde regel dy't in rûte-tabel tapast. Dêrom ferslacht in /24 in /16 dy't it befettet, en de smellere peer ûntfangt it ferkear.

Road-warrior-ynstellings brûke dit mei opsetsin. Ien peer besit in breed berik foar in site, en yndividuele hosts wurde mei /32-ynskriuwings útsnien dy't by oare peers hearre. It patroan wurket om't de útsnijingen mear spesifyk binne, net fanwege de folchoarder.

Skriuw it eigendom del as in tabel fan foarheaksel en peer. As twa ynskriuwings itselde foarheaksel beskriuwe, drukt de konfiguraasje gjin bedoeling mear út, mar in race.

It bestjoeringssysteem kiest earst de ynterface

WireGuard kiest allinnich tusken de peers op ien ynterface. Hokker ynterface it pakket krijt, wurdt earder besletten, troch de rûte-tabel fan de host, en in twadde standertrûte of in ferâldere rûte kin it ferkear stjoere nei in plak dêr't de peer-list it nea sjocht. Dêrom kin in diagnoaze op peer-nivo korrekt wêze en dochs de flater net ferklearje. Kontrolearje de rûte nei de bestimming foardat jo de peer-konfiguraasje lêze, want in rûte dy't nei de fysike ynterface wiist, giet it hiele fraachstik foarby.

It ark ynstallearret dy rûtes normaal út 'e peer-berikten, wat betsjut dat in feroaring yn 'e list fan ien peer ferkear dat earder by in oar hearde stilwei opnij rjochtsje kin. In peer bewurkje is dus in rûteferoaring yn ferklaaiïng. Besjoch beide tagelyk, oars reparearje jo it iene en brekke jo it oare.

Ynkommende pakketten wurde op boarne kontrolearre

De beriklist docht dûbeld tsjinst. Foar útgeand ferkear kiest it in peer op bestimming, en foar ynkommend ferkear autorisearret it in boarne-adres. In pakket dat fan in adres bûten de berikten fan dy peer komt, wurdt ôfsmiten foardat in firewall it sjocht.

Dy asymmetry is maklik te missen as jo ien kant fan 'e konfiguraasje lêze. In peer dy't in subnet berikke kin, is dêrtroch net tastien om fan dat subnet te stjoeren, en de twa rjochtingen wurde troch ferskate kontrôles hanthavene.

Smal boarne-eigendom makket dit in foardiel. Jou elke peer in /32 foar syn eigen adres en de firewall stroomôf hat in betroubere boarne om te ferliken, ynstee fan in berik foar de hiele groep dat elk lid opeaskje koe.

Dûbele berikten binne gjin failover

Itselde foarheaksel oan twa peers tawize makket gjin loadbalancer of in standby-paad. Der is gjin sûnenscheck en gjin sesje-affiniteit: de winnende ynskriuwing wurdt besletten troch de ynterne folchoarder fan 'e ymplemintaasje, en dat is gjin kontrakt dêr't jo op ûntwerpe moatte. As jo alternative útgongen nedich hawwe, druk se út dêr't de seleksje definiearre is. In rûtebelied, in metryk of in pear ferskillende foarheaksels mei in dokumintearre eigner elk produsearje gedrach dat jo foarsizze en testen kinne.

In berik ferbrede om in net-relatearre flater te reparearjen is de oare foarkommende flater. It ferpleatst ferkear by de peer wei dy't wurke, en it nije symptoom komt foardat it âlde begrepen is.

Ferifiearje de seleksje foardat jo bewurkje

Trije opdrachten beantwurdzje de trije fragen yn folchoarder. De earste listet de berikten op dy't elke peer opeasket. De twadde lit sjen hokker ynterface de host foar in bestimming brûke soe. De tredde lit de libbene peer-steat sjen nei't ferkear streamd hat.

wg show wg0 allowed-ips
ip route get 10.66.8.20
wg show wg0
ip rule show

Fier se foar en nei in feroaring út en ferlykje. As de rûte-útfier feroare is mar it ferkear komt noch altyd by de ferkearde peer, oerlaapje de foarheakselisten inoar op in manier dy't jo noch net opskreaun hawwe. As de rûte-útfier net feroare is, wie de peer-konfiguraasje noait dat wat rieplachte waard.

Skriuw de bestimming, de keazen ynterface en de keazen peer yn 'e ticket. Krekt dat trio makket in oerlaap letter neisjenber en it is folle nuttiger as in skermôfbylding fan 'e konfiguraasje.