Tollán iomlán WireGuard: ní leor AllowedIPs 0.0.0.0/0

Is é an chéim a gcuimhníonn gach duine uirthi ná 0.0.0.0/0, ::/0 a chur in AllowedIPs piara, agus ní shocraíonn sé ach an trácht atá ceadaithe don phiara a iompar. Ní chruthaíonn na réimíreanna seo aon ród, ní sheolann siad aon rud ar aghaidh ar an taobh thall, agus fágann siad réititheoir gach feidhmchláir go beacht san áit a raibh sé. Caithfidh ceithre rud ar leith a bheith fíor ag an am céanna chun go mbeadh tollán iomlán ina thollán iomlán, agus is fearr iad a sheiceáil san ord thíos, mar ní féidir le seiceáil níos déanaí seiceáil níos luaithe a shábháil. Is fíric í gach seiceáil thíos ar féidir a léamh ó mheaisín, ní socrú a bhfuil súil agat a bheith curtha i bhfeidhm.

Cad a roghnaíonn réimír an phiara, agus cad nach roghnaíonn

Is roghnóir agus údarú araon é AllowedIPs. Insíonn sé don taobh áitiúil cé na cinn scríbe ar féidir a sheoladh chuig an bpiara seo, agus insíonn sé don taobh glactha cé na seoltaí foinse ar féidir leis an bpiara seo a chur i láthair. Sin an obair ar fad. Ní chruthaíonn aon rud sa chur síos sin ród ar an óstaigh, ní chuireann sé seoladh ar aghaidh ar siúl ar an taobh i bhfad, agus ní bhaineann sé le réiteach ainmneacha.

Sin an fáth ar féidir le cumraíocht breathnú iomlán agus iompar mar thollán scoilte. Deir an réimír go nglacfadh an piara le gach rud; socraíonn tábla ród an óstaigh cad a shroicheann ann i ndáiríre, agus socraíonn an geata an dtéann aon rud amach. Ní chónaíonn aon cheann de na trí chinneadh sin i rannán an phiara.

An cliant a ródú, ní hamháin liosta na bpiaraí

Déanann bainisteoirí ar nós wg-quick tábla ród an óstaigh a ríomhchlarú ar do shon, agus is é sin an fáth a n-iompraíonn dhá chomhad cumraíochta chomhionanna iad féin go difriúil ag brath ar conas a tháinig an chomhéadan aníos. Tá próifíl íosta gearr go leor le léamh in aon bhabhta:

[Interface]
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = vpn.example.net:51820

Tá dhá shonra ag iompar na hoibre. Is é an réimse Address réimír óstaigh amháin seach foirlíon a gceapann an cliant gur leis é, agus is é an bainisteoir a thiontaíonn na AllowedIPs réamhshocraithe ina ród réamhshocraithe fíor. Tóg an comhad céanna le ip link agus wg setconf agus ní thaispeánfar aon ród ar chor ar bith, rud a fhéachann mar thollán briste agus is tollán sláintiúil é ar fágadh an chéim ródú ar lár. Déanann lámhleabhar wg-quick an ródú agus an t-iompar Table a chuireann na bainisteoirí sin leis a dhoiciméadú.

Léigh an toradh seach an comhad: ip route get 1.1.1.1 ba cheart go n-ainmneodh sé comhéadan an tolláin, agus wg show ba cheart go dtuairisceodh sé lámhchrannúchán le déanaí le feidhmchlár aistrithe atá ag gluaiseacht. Ciallaíonn lámhchrannúchán gan ród nach raibh an bainisteoir ag rith riamh, agus ní shocróidh eagarthóireacht eile ar an bpróifíl é sin. Tosaigh an comhéadan mar a thosóidh an t-úsáideoir é, nó tomhaiseann an tástáil do bhlaosc seach an t-imscaradh.

An críochphointe a choinneáil lasmuigh den tollán

Gabhtar gach ceann scríbe le tollán iomlán, lena n-áirítear an ceann a chaithfidh sé labhairt leis chun a bheith ann. Réitíonn bainisteoirí é sin trí ród óstaigh a chur leis don chríochphointe tríd an ngeata bunaidh, agus is é sin an fáth a mbíonn eisceacht amháin d’aon ghnó i mbeagnach gach cumraíocht cheart. Is é an bealach is gnáth chun an eisceacht seo a chailleadh leath den chumraíocht a chur i bhfeidhm le bainisteoir agus an leath eile de láimh.

Má tá an críochphointe ina ainm óstaigh a réitíonn go roinnt seoltaí, nó go teaghlach nach n-iompraíonn tú, éiríonn an eisceacht sean go dona agus féadann an tollán teip tar éis athnasc a raibh cuma ghnáth air. Pioc an críochphointe chuig seoladh atá faoi do smacht, nó deimhnigh go ndéanann an bainisteoir é a athmheas, agus léigh ród an óstaigh arís tar éis gach athraithe líonra.

Míníonn an mheicníocht chéanna an fáth a mbíonn tollán iomlán agus geata gabhála ag troid. Táthar ag súil go dtrasnóidh an geata an trácht a ghabhann do thollán anois, mar sin i líonraí óstán agus aerfoirt tógann tú an tollán tar éis logáil isteach an gheata, riamh roimhe.

Seoladh ar aghaidh agus an cosán fillte ar an ngeata

Ar an ngeata, cumasaigh seoladh ar aghaidh don teaghlach a iompraíonn tú, ceadaigh an slabhra forward sa dá threo nuair a dhéanann tú aistriúchán, agus deimhnigh an cosán fillte le cuardach atá sonrach don fhoinse. Ní leanann aon rud díobh sin ó lámhchrannúchán rathúil, mar ní chruthaíonn lámhchrannúchán ach go bhféadann an dá phiara UDP a mhalartú. Ní deir sé aon rud faoi cad a tharlaíonn don phaicéad díchochallaithe ina dhiaidh sin.

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding
ip route get 1.1.1.1 from 10.8.0.2

Ritheann an cuardach ar an ngeata seach ar an gcliant, nó beidh tú ag léamh tábla ród eile. Má ainmníonn sé an comhéadan mícheart, nó má thuairiscíonn sé nach bhfuil aon ród ann, ansin ní tháirgfidh aon athrú ar thaobh an chliaint bealach amach ar an idirlíon. Nuair a dhéanann an geata seoltaí na gcliant a aistriú ar an mbealach amach, braitheann an freagra ar an staid aistriúcháin sin, mar sin caithfidh an riail a bheith ann don dá threo den sreabhadh agus ní hamháin don treo amach.

DNS agus an staid teipe, tástáilte ar leithligh

Ní chumraíonn an prótacal féin réititheoir aon fheidhmchláir. wg-quick cuireann sé an líne DNS i bhfeidhm trí chomhtháthú réititheoir an dáilte, féadann coimeádáin agus brabhsálaithe a bhfuil a stuanna féin acu neamhaird a dhéanamh de, agus mar sin féadann ainm teip agus an tollán ag iompar paicéad go foirfe. Tástáil le hainm óstaigh seach le seoladh, agus tabhair faoi deara cén freastalaí a d’fhreagair seach a bheith ag glacadh leis gur fhreagair an ceann sa phróifíl.

Is tástáil ar leith iad teaghlaigh seoladh le freagra ar leith. Ní deir ród réamhshocraithe v4 aon rud faoi cad a dhéanfaidh nasc v6 feidhmchláir, agus tá tollán a ligeann don dara teaghlach sceitheadh go ciúin níos measa ná ceann a theipeann go glórach. Fiafraigh d’ainm thar gach teaghlach, léigh an comhéadan a d’úsáid gach iarratas, agus seiceáil na cuntair aistriúcháin roimhe agus ina dhiaidh, mar tá riail nach n-oireann do rud ar bith mar an gcéanna le riail atá ar iarraidh.

Ar deireadh, tástáil an staid a theastaíonn uait nuair a stopann an tollán. Ba cheart go dteipfeadh tollán iomlán go dúnta don trácht a mhaíonn sé: má thiteann an comhéadan agus má leanann feidhmchláir go ciúin thar an nasc fisiceach, is tollán scoilte é an dearadh le céimeanna breise. Scríobh síos an t-iompar teipe atá beartaithe, seiceáil é go d’aon ghnó, agus críochnaigh trí na ceithre fhreagra a thaifeadadh — cén bainisteoir a thógann an comhéadan, cén ród a iompraíonn an réamhshocrú, cé a sheolann ar aghaidh agus a dhéanann aistriúchán ar an ngeata, agus cén réititheoir a fhreagraíonn.