WireGuard neadaithe: ní féidir leis an léim lárnach freagairt ar a chalafort féin
Nuair a sheolann an léim lárnach gach rud isteach in aon tollán amháin, téann freagraí ar a sheirbhís isteach amach ar an mbealach mícheart. Ceartaíonn riail chalafoirt fhoinseach ar an gcomhéadan é sin.
Sroicheann trí léim WireGuard líonra nach bhfuil aon seoladh poiblí aige, agus ansin stopann an meaisín láir ag freagairt ar an gcalafort ar chóir dó a bheith ag éisteacht air. Oibríonn an tollán ar aghaidh fós, freagraíonn an t-óstach i bhfad i gcéin fós, agus níl de dhílse ach an freastalaí láir féin tar éis éirí ciúin ón taobh amuigh. Tá an meascán sin mearbhlach go beacht mar gheall gur féinchruthaithe atá sé: tá an léim lárnach ag géilleadh dá tábla ródaithe féin, agus seolann an tábla a chuid freagraí an bealach mícheart.
Slabhra a oibríonn go dtí go labhraíonn tú leis an mbosca láir
Tóg slabhra léiritheach: sroicheann cliant A freastalaí B ar UDP 500, agus sroicheann B ar aghaidh freastalaí C ar UDP 500. Ní ghlacann C le trácht ach ó sheoladh a aon phiara amháin, rud a fhágann ina dhuilleog é agus a choinníonn a iompar simplí. Ní duilleog é B, agus tarlaíonn gach rud suimiúil faoin gcliseadh seo ansin.
Tá tábhacht leis an idirdhealú mar go dtarraingíonn róil na duilleoige agus an láir i dtreonna contrártha. Is féidir le duilleog gach rud a sheoladh isteach in aon tollán amháin gan iarmhairt, ós rud é nach mbraitheann aon rud eile uirthi. Is é an léim lárnach pointe deiridh do chliaint agus cliant i dtreo an taoibh i bhfad i gcéin ag an am céanna, agus teastaíonn ródú difriúil ón dá phost sin.
Cén fáth a dtéann an freagra amach tríd an tollán
Ar B, iompraíonn an comhéadan atá dírithe ar C AllowedIPs = 0.0.0.0/0 mar aon leis an mbealach réamhshocraithe comhfhreagrach. Dá bhrí sin téann gach paicéad a chruthaíonn B isteach sa tollán sin, mura dtagann rud éigin níos sainiúla chun tosaigh.
Sroicheann paicéad ó A dírithe ar B agus glactar leis, mar gurb é B an ceann scríbe agus tarlaíonn seachadadh áitiúil ar dtús. Is paicéad úrnua a ghintear go háitiúil é an freagra atá dírithe ar sheoladh poiblí A, agus tagann an ceann scríbe sin le bealach réamhshocraithe an tolláin. Faigheann C é, níl an seoladh sin aige, agus scaoileann sé é.
Léitear an tsiamptóm mar fhadhb balla dóiteáin nó mar mhí-mheaitseáil eochair, agus níl ceachtar acu fíor anseo. Taispeánann gabháil ar an tollán i dtreo C go bhfuil na freagraí ag dul sa treo mícheart. Sábhálann an bhreathnóireacht aonair sin níos mó ama ná aon mhéid léitheoireachta cumraíochta, mar sin scríobh síos é sula dtosaíonn tú ag athrú eochracha. Glacfaidh aon duine nár chonaic an ghabháil leis go bhfuil an tollán féin briste.
An deisiú cúng: rialacha polasaí a mheaitseálann calafort foinseach
Tagann freagraí ó shocóg éisteachta B amach le calafort foinseach 500. Is féidir le riail pholasaí meaitseáil leis sin agus na paicéid sin a threorú ar ais chuig an ngnáth-thábla:
ip rule add sport 500 table main priority 100
ip rule add sport 8080 table main priority 101Ceistítear rialacha polasaí in ord tosaíochta, agus tá an príomhthábla ag 32766, mar sin ceistítear riail ag 100 sula mbíonn aon rud le rá ag bealach réamhshocraithe an tolláin. Cuir iontráil amháin in aghaidh gach calafoirt a chaithfidh fanacht inrochtana ón taobh amuigh agus rud ar bith eile, ionas go leanfaidh trácht a sheoltar ar aghaidh de úsáid a bhaint as an tollán ar tógadh é ina chomhair.
Bíodh a fhios agat teorainn an chleasa seo. Meaitseálann an roghnóir sport paicéid a ghintear go háitiúil, rud a chlúdaíonn go beacht cás an fhreagra agus go deonach ní chlúdaíonn sé trácht nach ndéanann B ach a sheoladh ar aghaidh ar son duine éigin eile. Bíonn a fhreagra féin ag teastáil fós ó sheirbhís a óstáiltear taobh thiar de B, agus cruthaíonn ligean air a mhalairt deisiú a oibríonn don chéad seirbhís agus a theipeann don dara ceann.
Tabhair úinéir don riail
Imíonn riail a chlóscríobhtar i leid an chéad uair eile a atógfar an comhéadan. I socrú WireGuard, cuir in áit a chruthaítear agus a bhaintear an comhéadan í:
PostUp = ip rule add sport 500 table main priority 100
PostDown = ip rule del sport 500 table main priority 100Má tá an comhéadan ag NetworkManager, ag crúca dáilte nó ag pointe iontrála coimeádáin, baineann an péire leis an úinéir sin seachas le comhad a ndearnadh eagarthóireacht láimhe air. Seiceáil na rialacha éifeachtacha tar éis athnascadh, ní hamháin tar éis an chéad tosaithe, mar gurb é an chéad tosú an cás a n-oibríonn i gcónaí.
Cuir comparáid mhacánta idir na roghanna eile
Tá riail chalafoirt fhoinseach ar cheann de cheithre bhealach amach, agus is í an ceann is cúinge díobh. Tá an buntáiste aici nach dtéann sí i ngleic le polasaí an tolláin ar chor ar bith, agus is ar an gcúis sin a mhaireann sí trí athruithe níos déanaí de ghnáth. Teipeann ar dheisiúcháin chúnga go glórach freisin nuair a stopann siad ag feidhmiú, agus leantaíonn eisceacht leathan ag obair go ciúin i bhfad tar éis don chúis léi imeacht. Tá tábhacht níos mó leis an difríocht sin ná le galántacht nuair a bhíonn an bosca ag duine éigin eile i gceann dhá bhliain.
| Approach | What it costs | Where it breaks |
|---|---|---|
| Source-port policy rule | One rule per exposed port | Anything B forwards rather than originates |
| Destination exception route | A route pinned to specific client addresses | Clients whose address changes |
| Stop full-tunnelling on B | Loses the catch-all path toward C | Designs that depend on it |
| Split into two tunnels | More interfaces and more policy | Nothing, at the cost of complexity |
Fíoraigh ón dá cheann nuair a bheidh do rogha déanta. Ó A, cuir tús le nasc chuig calafort B agus coinnigh gnóthach é ar feadh tamaill. Ar B, tabhair ar an eithne údar a thabhairt do chonair an fhreagra le rud éigin cosúil le ip route get <address-of-A> sport 500, agus deimhnigh go n-ainmníonn sé an comhéadan WAN seachas an tollán. Ina dhiaidh sin, seiceáil go bhfreagraíonn rud éigin taobh thiar de C fós tríd an slabhra, rud a chruthaíonn gur fhan an eisceacht cúng in ionad iompú ina seachbhealach. Ar deireadh, taifead na calafoirt sna nótaí dearaidh, nó athaimseoidh an chéad oibreoir eile é seo ar sheirbhís dhifriúil.