Ní féidir le cliant WireGuard cliant OpenVPN a shroicheadh?

Ceanglaíonn an dá thollán, sroicheann gach cliant an geata, agus an nóiméad a thriailfidh ceann acu seoladh an chinn eile, imíonn na paicéid. Níl aon rud mícheart i gceachtar den dá chroitheadh láimhe, agus ní athraíonn aon ath-eisiúint eochracha é sin. Iompraíonn an geata gnáthphaicéid IP neamhchriptithe idir dhá cheann dá chomhéadain féin, mar sin ní gá do na prótacail a chéile a thuiscint riamh; is é atá uathu ná trí rud nach dtugann aon chroitheadh láimhe. Clúdach na cinn scríbe ar an gcliant tionscnaimh, úinéireacht na foinse ag an ngeata agus bealach ar ais ar an taobh thall. Tá an tsiomptóm mar an gcéanna don trí rud, agus is ar an ábhar sin a dhéantar iad a dhiagnóisiú le chéile.

Tá píosa amháin ar iarraidh sa tsiomptóm ag an am

Úsáideann an dearadh seo linn WireGuard 10.71.0.0/24 ar wg1 agus linn OpenVPN 10.72.0.0/24 ar tun1, agus críochnaíonn an dá cheann ar gheata amháin. Téann an t-iarratas atá faoi thástáil ó 10.71.0.5 go HTTPS ar 10.72.0.30. Baineann gach céim thíos leis an aon sreabhadh sin. Tá síniú teipe difriúil ag gach seiceáil cé go mbíonn an t-úsáideoir ag taithí mar an gcéanna iad, agus de ghnáth ní bhíonn ach ceann amháin den trí rud ar iarraidh ag an am.

Cuir tús trí dhearbhú go bhfuil an dá linn i ndáiríre ar an ngeata seo agus go bhfuil an t-ardú ar aghaidh cumasaithe san ainmspás ina gcónaíonn na tolláin. Ní chuireann geata a chríochnaíonn an dá phrótacal in ainmspásanna éagsúla aon rud ar aghaidh eatarthu, agus is fiú é sin a chur as an áireamh sula léifear aon chumraíocht chomhpháirtí.

Leathnaigh clúdach na cinn scríbe ag an spóca

Ar an gcliant WireGuard, caithfidh an iontráil chomhpháirtí atá ann cheana an geata a roghnú don cheann scríbe OpenVPN, rud a chiallaíonn go gcaithfidh réimír an chinn scríbe a bheith ar an liosta ceadaithe den chomhpháirtí sin. Ní chruthaíonn sé sin dara tollán; athraíonn sé cén comhpháirtí a roghnaíonn an cliant nuair a fhéachann sé an seoladh sin suas, agus le wg-quick leanann an bealach an liosta go huathoibríoch de ghnáth.

AllowedIPs = 10.71.0.0/24, 10.72.0.0/24

Fág na fíorlínte eochrach agus críochphointe gan teagmháil, agus cuimhnigh nach dtógann bainisteoir a úsáideann Table = off aon bhealach ón liosta seo ar chor ar bith. Sa chás sin caithfear an réimír chéanna a shuiteáil i dtábla bealaí an chórais ag an té a shealbhaíonn í, agus breathnaíonn bealach atá ar iarraidh ansin go beacht mar réimír cheadaithe atá ar iarraidh.

Coimeád úinéireacht na foinse ag an ngeata

Ba cheart go leanfadh iontráil chomhpháirtí an chliaint seo ag an ngeata ag sealbhú sheoladh foinse an chliaint sin go beacht. Seiceáiltear seoltaí ceadaithe sa dá threo: roghnaíonn siad comhpháirtí don trácht amach agus dearbhaíonn siad gur leis an gcomhpháirtí a sheol é foinse an phaicéid isteach. Má chuirtear linn OpenVPN in iontráil an spóca toisc go bhfuil an spóca ag iarraidh é a shroicheadh, sin an botún a sheolann an trácht i dtreo an rannpháirtí mhícheart.

AllowedIPs = 10.71.0.5/32

Léigh an iontráil sin mar ráiteas úinéireachta seachas mar áise bealaigh. Baineann gach aon rud eile a gcaithfidh an cliant é a shroicheadh le liosta cinn scríbe an chliaint, ní le tuairim an gheata faoi cad a cheadaítear don chomhpháirtí seo a sheoladh.

Tabhair bealach ar ais don taobh OpenVPN

Teastaíonn bealach ar ais chuig foinse WireGuard ón sprioc anois, agus do chliaint linne tagann sé sin de ghnáth mar bhealach brúite ó fhreastalaí OpenVPN. Ná brúigh é ach chuig cliaint ar cheart dóibh é a bheith acu, agus deimhnigh ar an gcliant gur glacadh leis seachas a mheas gur cuireadh an treoir i bhfeidhm.

push "route 10.71.0.0 255.255.255.0"

Ní údarú é dáileadh bealaí. Nuair a bhíonn an ceann scríbe taobh thiar de chliant OpenVPN eile seachas sa linn, tagann úinéireacht LAN an chliaint sin féin agus a riachtanais ardaithe ar aghaidh isteach sa dearadh, agus ní bhíonn sa bhealach brúite ach an chéad leath. Athfhoirmligh an riachtanas mar ghraf sula gcuirtear treoracha leis: cén nód a shealbhaíonn cén réimír, agus cén nód a chuireann ar aghaidh ina treo.

Ná ceadaigh ach an t-aon tseirbhís amháin a bhí ar intinn agat a cheadú

Agus an t-ardú ar aghaidh cumasaithe agus an dá linn inbhealaigh, is í an pholaitíocht an cheist atá fágtha. Scríobh an riail don sreabhadh sonrach seachas don phéire comhéadan i gcoitinne, réamhamharc uirthi sula gcuirfear i bhfeidhm í, agus coimeád an bealach ar ais stáitúil ionas nach gcuirfí bac ar fhreagraí mar naisc nua. Ní chosnaíonn triail thirim dada agus taispeánann sí go beacht cad a chuirfí leis.

sudo ufw --dry-run route allow in on wg1 out on tun1 proto tcp from 10.71.0.5 to 10.72.0.30 port 443

Is rialacha tráchta ar aghaidh iad seo, ar leith ó rialacha éisteachta an gheata don dá sheirbhís VPN. Ní údaraíonn oscailt na bport UDP seachtrach an t-iarratas inmheánach, agus ní theastaíonn ó údarú an iarratais inmheánaigh SSH gan srian chuig an ngeata ná cead réamhshocraithe ar an ardú ar aghaidh. Caithfidh balla dóiteáin an sprioc féin agus a sheoladh éisteachta teacht le chéile freisin, ós rud é go ndiúltaíonn seirbhís atá ceangailte le loopback don phaicéad is cúramaí a ndearnadh bealach dó. Teipeann ar pholaitíocht nach gclúdaíonn ach treo amháin den chomhrá le hiarratas rathúil agus freagra ciúin, arb é an toradh is mearbhalláí den trí cinn é.

Ciallaíonn bealaí frithpháirteacha de ghnáth nach bhfuil aistriú foinse de dhíth, rud a choinníonn seoladh WireGuard ag an sprioc agus a dhéanann na logaí inléite. Ná cuir masquerading foriomlán leis mar gheall go bhfuil dhá phrótacal i gceist, agus ná bain riail aistrithe atá ann cheana gan a fhios cad a bhraitheann uirthi. Ansin fíoraigh an t-aon sreabhadh ó cheann go ceann, agus tástáil foinse nó port amháin neamhcheadaithe freisin: ní chruthaíonn croitheadh láimhe a oibríonn ar gach taobh an bealach crosáilte ná an t-aonrú.