Conas tástáil WireGuard dhá phiara a thógáil a chruthaíonn aon chonair amháin

Ní féidir le tástáil WireGuard a iompraíonn bealach réamhshocraithe, réimír LAN, DNS agus eisceacht balla dóiteáin a insint duit cé acu díobh a bhris. Laghdaigh go dtí dhá phiara, aon phéire seolta agus aon tseirbhís cheadaithe é, agus níl áit ar bith ag an locht le dul i bhfolach. Is é an bunlíne leadránach an diagnóisic. Tóg í ar dtús; tógann sé cúig nóiméad déag agus sábhálann sé an tráthnóna a chaithfeá ag tomhas murach sin.

Tá an méid a chruthaíonn an bhunlíne níos cúinge ná mar a mbíonn súil ag an gcuid is mó daoine leis. Cruthaíonn sé go n-aontaíonn dhá fhéiniúlacht, go sroicheann UDP an port éisteachta agus go n-iompraíonn aon cheann scríbe ceadaithe iarratas. Is gnéithe ar leith iad seoladh ar aghaidh, NAT, bealaí LAN agus DNS a chuirtear leis ina dhiaidh sin, ceann ag an am.

Eochracha, seoltaí agus an t-aon endpoint

Gin péire eochracha ar gach córas agus ná bog idir iad ach na leathanna poiblí. wg genkey | tee privatekey | wg pubkey > publickey is é an t-aon líne doiciméadaithe é, agus fágann sé an eochair phríobháideach i gcomhad ar féidir leat a chosaint ina dhiaidh sin. Roghnaigh seoltaí tolláin ó raon nach bhfuil le feiceáil in aon chumraíocht eile atá agat, mar shampla 10.99.0.1/24 agus 10.99.0.2/24. Scríobh síos cén seoladh a bhaineann le cén meaisín, mar braitheann gach seiceáil ina dhiaidh sin ar an mapáil sin.

Ní thaistealaíonn eochracha príobháideacha riamh. Má theastaíonn eochair chóipeáilte go dtí an taobh eile ó thástáil, tá an tástáil imithe mícheart cheana féin. Nuair a bhíonn an dá chóras taobh thiar de NAT, teastaíonn port UDP inrochtana ó cheann amháin ar a laghad agus an ceann eile ag iompar Endpoint a dhíríonn air, agus baineann an seoladh poiblí agus an port le do nótaí seachas le do bharúla faoi 51820.

Oibríonn seoladh port ar aghaidh a mhapálann port seachtrach difriúil go maith fad a fhreagraíonn an Endpoint dó. Táirgeann neamhréireanna anseo tost seachas earráidí, agus sin an fáth ar fiú iad a sheiceáil ar pháipéar sula ndéanfaidh tú dífhabhtú ar an sreang.

Na réimsí a bhaineann le wg agus iad siúd nach mbaineann

Tá an tsraith réimsí lárnach beag: PrivateKey agus ListenPort faoi Interface, PublicKey, AllowedIPs agus Endpoint faoi Peer. Baineann Address agus DNS le wg-quick seachas le wg féin, agus bíonn an t-idirdhealú sin le feiceáil an nóiméad a aistrítear an chumraíocht chéanna go huirlis eile.

[Interface]
PrivateKey = <peer-a-private>
Address = 10.99.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <peer-b-public>
AllowedIPs = 10.99.0.2/32
Endpoint = 203.0.113.10:51820

Iompraíonn AllowedIPs dhá thasc ag an am céanna. Roghnaíonn sé cé na cinn scríbe a théann isteach sa tollán, agus údaraíonn sé don phiara na seoltaí foinse sin a úsáid ar theacht. Mar sin caithfidh an iontráil scátháin ar an taobh eile seoladh do tholláin a ainmniú go beacht; léann /32 don phiara mícheart mar fhadhb ródaithe agus iompraíonn sé mar fhadhb údaraithe. An tús tapa WireGuard taispeánann sé an chruth chéanna dhá phiara leis an bhfoclaíocht chanónach má theastaíonn uait ainmneacha réimsí a chur i gcomparáid.

An croitheadh lámh a léamh in ionad an deilbhín

Ardaigh an chomhéadan trí cibé rud a shealbhaíonn é, ansin léigh staid seachas solas stádais. wg show priontálann sé an croitheadh lámh is déanaí de réir piara mar aon le comhairimh bheart, agus ciallaíonn croitheadh lámh sna cúpla nóiméad deireanach go bhfuil eochracha, endpoint agus conair UDP ag obair go léir. Is é freagra féin comhaireamh nach n-ardaíonn ach i dtreo amháin, agus ní hé an locht céanna é le croitheadh lámh nach dtarlaíonn riamh.

Tugann an dá locht imscrúduithe difriúla le tuiscint. Cuireann easpa croitheadh lámh ar fad in iúl go bhfuil neamhréir eochrach, Endpoint mícheart, UDP bacáilte nó balla dóiteáin a scaoileann an croitheadh lámh féin. Cuireann croitheadh lámh a n-éiríonn lena linn ach nach dtéann sonraí in aon áit in iúl go bhfuil AllowedIPs, seirbhís nach n-éisteann ar sheoladh an tolláin, nó balla dóiteáin óstaigh a ghlacann an port don LAN ach ní don chomhéadan tolláin i gceist. Dhá leath dhifriúla den chóras iad seo, agus scarann an bhunlíne iad sula dtosaíonn tú ag athrú rialacha.

Aon tseirbhís cheadaithe a chruthú, ansin a mhalairt

Déan iarratas ar sheoladh tolláin an phiara eile ar sheirbhís a bhfuil sé de dhualgas uirthi freagairt, agus roghnaigh rud éigin níos fearr ná ping. Is féidir le freagra ICMP atá ar iarraidh a bheith ina scagadh óstaigh seachas locht tolláin, mar sin ní chruthaíonn ping ciúin aon treo. Tugann nasc TCP chuig port a bhfuil a fhios agat atá oscailte, nó iarratas a thugann sonraí ar ais, freagra duit ar féidir leat a léirmhíniú.

Rith an treo droim ar ais mar thástáil ar leith lena toradh féin, mar tá iontrálacha balla dóiteáin agus AllowedIPs ar leith ag an dá threo agus féadann siad teip go neamhspleách. Má oibríonn an croitheadh lámh agus mura n-oibríonn an t-iarratas, tá an fhadhb sa chonair sonraí seachas sa tollán: AllowedIPs, an tseirbhís atá ag éisteacht, nó balla dóiteáin óstaigh. Deisigh é sin sula gcuireann tú seoladh ar aghaidh, NAT nó DNS leis, nó caithfidh tú an tráthnóna ag dífhabhtú gné nach raibh riamh ciontach.

An bhunlíne a choinneáil mar thagairt

Sábháil an toipeolaíocht oibre agus foinse an phróifíl in áit ar féidir leat aischur, agus coinnigh amach ó aon eolaire a shioncronóidh le seirbhís phoiblí iad. Ansin cuir gné amháin leis ag an am, agus déan an t-iarratas bunaidh a athrá tar éis gach ceann: seoladh ar aghaidh, NAT, bealach LAN, agus gan ach ansin DNS. Tá gach breis atá ag briseadh na tástála inaitheanta anois, mar níl aon rud eile tar éis bogadh.

Níor inis bunlíne nach ndéanann ach deilbhín a chasadh glas dada duit faoi cé an breis ba chúis leis an gcéad locht eile. Coinnigh an t-aon chonair cheadaithe ag obair mar thagairt, agus déantar gach athrú níos déanaí a thomhas ina choinne.