Réimír ósta WireGuard: cén fáth a bhfuil seoladh amháin ag obair agus an chuid eile nach bhfuil

Tá an tollán in airde, tarlaíonn handshake gach dhá nóiméad, agus freagraíonn go díreach aon seoladh amháin ar an taobh eile. Oibríonn pings chuig seoladh tolláin an phiara; ní oibríonn aon rud taobh thiar de. Léann duine cumraíocht an chomhéadain, feiceann réimír ósta agus tagann sé chun críche go bhfuil an masc mícheart. Deisíonn leathnú go /24 an ping ar feadh tamaill agus ansin briseann sé rud éigin eile. Ní raibh an réimír riamh ina chúis, agus ní hé an bealach a bhí ar iarraidh an bealach a rialaíonn an masc.

Cad a chruthaíonn réimír an chomhéadain i ndáiríre

Ar Linux cruthaíonn seoladh a shannadh do chomhéadan bealach nasctha don réimír sin. Má shannann tú réimír ósta ní chlúdaíonn an bealach nasctha seoladh amháin. Má shannann tú /24 clúdaíonn sé 256, agus meastar gach ceann acu anois a bheith inrochtana ar an nasc sin.

ip -4 addr show dev wg0
ip -4 route show dev wg0
ip route get 10.80.7.1

Is rogha iomlán normálta é réimír ósta do thollán pointe-go-pointe, mar tá go díreach aon phiara amháin ag an taobh eile. Is é an tríú ordú an ceann a fhreagraíonn ceist an úsáideora: deir sé cén comhéadan a d’úsáidfeadh an t-eithne don sprioc sin, agus ní thaispeánfaidh sé aon rud úsáideach mura n-oireann aon bhealach.

Sin an mhíniú iomlán ar an symptom. Freagraíonn seoladh amháin toisc go bhfuil bealach nasctha ann dó, nó toisc go bhfuil sé san áireamh sa liosta ceadaithe ag an phiara trí thimpiste. Níl aon bhealach ag gach rud eile agus caitear é sula mbíonn WireGuard páirteach ar chor ar bith. Tá an tollán sláintiúil an t-am ar fad, agus sin an fáth go bhfuil an t-áiritheoir handshake fós ag breathnú go suaimhneach.

Dá riail iad AllowedIPs faoi aon ainm amháin

Déanann an liosta ceadaithe in aghaidh an phiara in WireGuard dhá phost ag an am céanna, agus tugann comhréir na cumraíochta orthu breathnú mar aon phost amháin. Ar an mbealach isteach ceadaíonn sé cé na seoltaí foinse is féidir le piara a chur i láthair. Ar an mbealach amach roghnaíonn sé cén piara a seoltar paicéad chuige, tríd an meaitseáil is sonraí a aimsiú.

Ní ródú ceachtar den dá phost. Caithfidh an t-eithne fós cinneadh a dhéanamh go mbaineann paicéad le comhéadan an tolláin sula bhféachann WireGuard air, agus tagann an cinneadh sin ón tábla ródaithe. Ní shuiteálann iontráil piara le liosta ceadaithe leathan bealach as a stuaim féin.

Sin an fáth a bhféadfadh cumraíocht breathnú iomlán agus iompar go neamhshiméadrach. Seolann an cliant chuig an taobh eile toisc go bhfuil bealach ann, agus ní thagann freagraí choíche toisc nach gceadaíonn liosta ceadaithe an taoibh eile foinse an chliaint, nó toisc nach bhfuil bealach ar ais ag an taobh eile. Is cinntí ar leith iad an dá threo le módanna teipe ar leith. Is leath den diagnóis é a scríobh síos cé acu atá á thástáil agat.

Cá as a dtagann an bealach

Má úsáideann tú wg-quick, gintear na bealaí duit ó liosta ceadaithe gach piara, mura bhfuil Table = off socraithe agat agus an smacht tógtha agat féin. Sin an t-iompar atá doiciméadaithe ag an uirlis, agus sin an fáth a n-oibríonn cumraíocht gan treoracha ródaithe follasacha fós.

sudo wg show wg0 allowed-ips
ip route show | grep wg0
sudo wg-quick strip wg0

Cuir an liosta ceadaithe i gcomparáid leis na bealaí atá ann i ndáiríre. Ciallaíonn piara a cheadaíonn fo-líonra iomlán ach nár chruthaigh ach bealach ósta amháin nach ndeachaigh an cúntóir riamh, nó go bhfuil an comhéadan á bhainistiú agat go díreach le wg agus ip, agus sa chás sin ní ghineann aon rud bealaí duit.

Nuair a bhainistíonn tú de láimh é, is líne amháin an bealach agus tá a chruth follasach: an sprioc tríd an comhéadan, gan geata mar go bhfuil an nasc pointe-go-pointe. Ní seachbhóthar é a chur leis do dhroch-réimír; is é an leath atá ar iarraidh de dhearadh a roghnaigh ródú a ghlacadh air féin.

Ní chuireann réimír níos leithne an iontráil piara leis

Is é an ceartú mealltach an seoladh a athrú go /24 ionas go gclúdóidh an bealach nasctha LAN an fhreastalaí. Dealraíonn sé go n-oibríonn sé, agus is é an fáth a ndealraíonn sé go n-oibríonn sé go n-oireann an bealach nasctha anois, ní gur fhoghlaim WireGuard rud nua.

Rud eile a rinne tú ná an raon iomlán a éileamh mar rud atá inrochtana go díreach ar an nasc sin, lena n-áirítear seoltaí a bhaineann le piaraí eile nó le LAN atá i ndáiríre taobh thiar den fhreastalaí. Téann trácht chuig na seoltaí sin isteach sa tollán anois, agus braitheann sé ar ródú agus ar liostaí ceadaithe an fhreastalaí féin an dtagann sé amach ar an taobh eile.

Ní dhéantar dochar don taobh cripteagrafaíochta in aon chás. Teastaíonn iontráil ar an liosta ceadaithe ó WireGuard fós a chlúdaíonn an sprioc chun piara a roghnú, agus teastaíonn iontráil ón taobh eile fós a chlúdaíonn d’fhoinse chun é a ghlacadh. Ní féidir le réimír comhéadain níos leithne ceachtar acu a sholáthar.

Deimhnigh an dá threo sula n-athraíonn tú aon rud

Oibrigh ar an dá cheann ar leithligh agus scríobh síos a ndeir gach ceann. Ar an gcliant an bealach agus iontráil an phiara; ar an bhfreastalaí an íomhá scátháin móide a bhealach ar ais féin:

ip route get 192.168.70.20
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo tcpdump -ni wg0 -c 10

Is é an gabháil rud a réitíonn aighnis faoin treo. Má thagann paicéid amach chun solais ar chomhéadan an tolláin agus mura ndéanann an freastalaí aon rud a logáil, tá an ceann i bhfad ag diúltú dóibh, de ghnáth toisc go bhfuil d’fhoinse lasmuigh dá liosta ceadaithe. Mura dtagann aon rud chun solais ar chor ar bith, tá an bealach ar iarraidh nó tá sé ag díriú áit eile.

Ansin deisigh an ceann is cúinge. Is é iontráil ar an liosta ceadaithe ar thaobh an fhreastalaí do sheoladh do chliaint agus iontráil ar thaobh an chliaint don fho-líonra sprice an ghnáthchruth, agus fágann sé réimír an chomhéadain go socair. Ná leathnaigh an réimír ach amháin má theastaíonn ón bplean seoltaí fo-líonra comhroinnte ar an nasc sin, agus déan é mar athrú plean seachas mar chéim dífhabhtaithe.