Oibríonn croitheadh láimhe WireGuard, ach ní fhreagraíonn fo-líonra na hoifige

Críochnaíonn an croitheadh láimhe, wg show tuairiscíonn sé aistriú le déanaí, agus freagraíonn seoladh tolláin an fhreastalaí do phing. Ní fhreagraíonn óstach ar LAN an fhreastalaí. Caithfidh trí choinníoll a bheith fíor ag an am céanna: caithfidh an cliant réimír an LAN a ródú isteach sa tollán, caithfidh an freastalaí na paicéid a aistriú ar aghaidh, agus teastaíonn cosán ar ais ón bhfreagra. Nuair a bhíonn ceann de na trí ar iarraidh, bíonn an tsiomptóm mar an gcéanna.

Is liosta rochtana agus tábla ródaithe araon é AllowedIPs

Ar an gcliant, socraíonn an liosta AllowedIPs araon cad is féidir a sheoladh chuig an bpiaraí sin agus cé na róid a shuiteálann WireGuard. Suiteálann iontráil phiaraí nach liostaíonn ach seoladh tolláin an fhreastalaí ród amháin óstaigh, mar sin ní théann cinn scríbe an LAN isteach sa tollán riamh. Is é cur leis an réimír LAN an chéad rud a chaithfear a fhíorú, agus is é freisin an t-athrú is minice a bhíonn ar iarraidh tar éis cumraíocht a chóipeáil. Is dearadh difriúil é piaraí a leathnaíodh go ród réamhshocraithe, agus bogfaidh sé trácht idirlín an chliaint freisin.

Coinnigh ród an óstaigh agus réimír an LAN mar iontrálacha ar leith. Má tá dhá fho-líonra ag an oifig, baineann an dá cheann leis an liosta, agus cruthaíonn an dara réimír atá ar iarraidh teip a bhfuil cuma roghnach uirthi seach iomlán.

[Peer]
PublicKey = <server public key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.66.0.1/32, 192.168.50.0/24

Baineann aistriú ar aghaidh agus aistriúchán leis an bhfreastalaí

Teastaíonn aistriú IP cumasaithe ón bhfreastalaí, riail aistrithe ar aghaidh a ghlacann le trácht a thagann ón tollán, agus riail aistriúcháin i dtreo a chomhéadain LAN. Is é an t-aistriúchán a chuireann ar chumas an dearadh oibriú gan teagmháil le gach óstach ar líonra na hoifige. Ansin filleann freagraí ar an bhfreastalaí seach ar sheoladh nach bhfuil cloiste ag an LAN riamh. Gan é, teastaíonn ród don fho-líonra tolláin agus riail balla dóiteáin a cheadaíonn é ó gach óstach, rud is annamh a bhíonn inghlactha ar líonra a bhíonn á bhainistiú ag duine eile.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Imíonn rialacha a chuirtear leis de láimh ag an atosú, mar sin ceangail leis an gcomhéadan iad le horduithe crúca i gcumraíocht an fhreastalaí. Is é sraith rialacha a mhaireann níos faide ná a comhéadan an bealach a gcríochnaíonn meaisín ag aistriú tráchta do thollán nach bhfuil ann a thuilleadh.

Nuair a bhog an LAN agus nár bhog an riail

Is é athsholáthar ródaire a athuimhríonn fo-líonra na hoifige an leagan clasaiceach den teip seo. Fanann an tollán suas, fanann an croitheadh láimhe úr, agus ní fhreagraíonn aon rud taobh thiar den fhreastalaí, toisc go n-ainmníonn an riail aistriúcháin an seanchríoch fós. Is minic a dhéanann scripteanna suiteála seoladh LAN an fhreastalaí a bhácáil isteach i riail POSTROUTING, agus tar éis athuimhrithe ní bhíonn an seoladh sin ar aon chomhéadan. Athscríobhtar na paicéid ansin chuig ceann scríbe nach féidir leis freagra a thabhairt.

iptables -t nat -n -L POSTROUTING
ip -br addr show

Déan comparáid idir an dá aschur. Is é sprioc aistriúcháin nach bhfeictear i liosta na gcomhéadan an fabht, agus is athrú aon líne é a shocrú nuair a bheidh sé feicthe agat. Féadfaidh an riail a bheith in aonad ginte seach i gcumraíocht WireGuard, mar sin athlódáil an t-aonad sin tar éis eagarthóireachta agus deimhnigh nach n-athscríobhann an chéad atosú eile do athrú.

Teastaíonn áit chruinnithe ó dhá shuíomh taobh thiar de NAT

Nuair nach nglacann ceachtar taobh le naisc isteach, is é an freagra praiticiúil óstach beag a bhfuil seoladh poiblí agus dhá chomhéadan WireGuard aige. Ceanglaíonn gach suíomh amach, liostaíonn an t-óstach láir LAN gach piaraí ina AllowedIPs, agus iompraíonn aistriú ar aghaidh paicéid idir an dá thollán. Ní gá aon rud i mballa dóiteáin ceachtar suíomh a athrú, agus is é sin an fáth a scaipeann an dearadh seo go héasca.

Coinníonn ródú idir na suíomhanna na seoltaí foinse bunaidh agus dá bhrí sin coinníonn sé logáil in aghaidh an óstaigh chiallmhar. Tá aistriúchán ag an óstach láir níos simplí nuair a fhorluíonn an dá LAN, ach ar chostas féiniúlacht na foinse a chailleadh sna logaí. Socraigh cé acu tréith atá tábhachtach sula roghnaíonn tú.

Deighil na sraitheanna le ceithre sheiceáil

Rith seiceáil amháin in aghaidh an tsraith seach trí rud a athrú agus súil a bheith agat. Taispeánann an chéad cheann aois an chroitheadh láimhe agus na cuntair do gach piaraí. Taispeánann an dara ceann an ródann an cliant an ceann scríbe sin isteach sa tollán i ndáiríre. Insíonn an tríú agus an ceathrú duit ar tháinig an t-iarratas agus ar scaoil polasaí é tar éis teacht.

wg show
ip route get 192.168.50.20
tcpdump -ni wg0 icmp
iptables -vnL FORWARD --line-numbers

Iarratas a thagann agus nach dtógann freagra ar bith díríonn sé ar chosán an fhreagra nó ar óstach an LAN. Iarratas nach dtagann riamh díríonn sé ar AllowedIPs nó ar ród an chliaint. Teastaíonn socruithe difriúla ón dá thoradh sin, agus is é an gabháil a insíonn idir iad.