Piara WireGuard gan rochtain agus piara eile ag obair: seicliosta

Téann piara WireGuard amháin trí thrácht agus déanann an dara ceann an crannchur láimhe ach ní shroicheann sé riamh aon rud taobh thiar den tollán. Insíonn an piara atá ag obair duit gur dócha go bhfuil an comhéadan, an port UDP agus eochair an fhreastalaí ceart. Ní insíonn sé aon rud faoi AllowedIPs an dara piara, a sheoladh foinse inmheánach ná na rialacha seolta idir an dá cheann. Oibrigh an liosta in ord agus stop ag an gcéad chéim nach gcomhlíontar a coinníoll.

Céim 1: Scríobh síos an cosán ar cheart don phacáiste a leanúint

Ní shroicheann dhá chliant ar an mbolg céanna a chéile go huathoibríoch. I ndearadh mol agus spócaí faigheann an freastalaí an pacáiste ar wg0 agus caithfidh sé é a sheoladh amach as wg0 chuig an bpiara eile, rud a éilíonn seoladh IP agus riail seolta. I ndearadh díreach piara-le-piara teastaíonn ó gach taobh deireadh an taobh eile agus seoladh a tholláin laistigh de AllowedIPs. Socraigh cén dearadh atá á dhífhabhtú agat sula léann tú aon chumraíocht.

Insíonn an cosán a bhfuiltear ag súil leis duit freisin cá féachaint. Más gá don phacáiste an mol a thrasnú, is é an t-aistriú a theipeann ná AllowedIPs an tseoltóra, seoladh an mhoil, nó AllowedIPs an ghlacadóra. Más gá dó dul go díreach, níl aon bhaint ag an mol agus is iad réimsí deireadh an dá phiara a bhfuil tábhacht leo.

Céim 2: Cuir AllowedIPs i gcomparáid ar an dá thaobh, ní ar thaobh amháin

Úsáideann WireGuard AllowedIPs mar thábla ródaithe agus mar liosta rochtana araon. Agus á sheoladh, lorgaítear seoladh an chinn scríbe in AllowedIPs an phiara chun an tollán a roghnú; agus á fháil, caithfidh an seoladh foinse inmheánach titim laistigh d’AllowedIPs an phiara a sheolann nó déantar an pacáiste a scriosadh. Cruthaíonn raon atá ar iarraidh ar thaobh ar bith an tsíomptóm céanna: oibríonn an t-iompar, imíonn an t-ualach.

Léigh an staid bheo seachas an comhad, mar b’fhéidir gur theip ar athlódáil go ciúin: sudo wg show wg0 allowed-ips. Ar an bhfreastalaí caithfidh iontráil an phiara a theipeann a sheoladh tolláin a áireamh, mar shampla 10.90.0.3/32. Ar an gcliant caithfidh iontráil phiara an fhreastalaí an ceann scríbe atá á thástáil agat a áireamh, cibé acu seoladh tolláin an mhoil nó an tsubghréas i bhfad i gcéin é. Déanann raonta forluiteacha an lorg a bheith débhríoch agus féadann siad piara nár bheartaigh tú a roghnú, mar sin coinnigh óna chéile iad.

Céim 3: Seiceáil an seoladh foinse inmheánach

Déanfaidh an glacadóir diúltú do chliant a ródaíonn 10.90.0.3 trí wg0 ach a sheolann pacáistí óna sheoladh Wi-Fi, mar ní thagann an fhoinse le hAllowedIPs an phiara. Deimhnigh an rud a roghnaíonn an eithne i ndáiríre le ip route get 10.90.0.3 from 10.90.0.2, agus deimhnigh an seoladh a shanntar don chomhéadan tolláin le ip -brief addr show wg0.

Ar an óstach Linux a fhaigheann, is geata eile é scagadh an chosáin chúil. Féadann rp_filter dian ar an gcomhéadan a shealbhaíonn an ród fillte trácht tolláin a scriosadh nach dtagann a chosán fillte leis an gcomhéadan ar tháinig sé air. Seiceáil an luach éifeachtach sula ndíchumasaíonn tú é; i gcásanna go leor is ród an ceartú ceart, ní scagaire scaoilte.

Céim 4: Athbhreithnigh seoladh an mhoil agus an cosán fillte

Má chaithfidh an mol seoladh idir phiaraí, teastaíonn net.ipv4.ip_forward=1 ón eithne, agus caithfidh an balla dóiteáin glacadh leis an sreabhadh seolta: isteach ar wg0, amach ar wg0, ó sheoladh tolláin an tseoltóra go dtí seoladh an ghlacadóra. Teip choitianta is ea riail ionchuir a ghlacann UDP 51820 ach nach bhfuil aon riail seolta ann], mar sin éiríonn leis an gcrannchur láimhe agus faigheann an t-ualach bás. Liostaigh na rialacha éifeachtacha le sudo nft list ruleset nó an choibhéis do do bhainisteoir balla dóiteáin.

Ansin seiceáil an freagra. Caithfidh ród fillte chuig an seoltóir a bheith ag óstach an chinn scríbe, tríd an mol nó trína gheata féin. Má dhéanann an mol NAT ar an tsubghréas tolláin freisin, deimhnigh go mbaineann an aistriúchán leis an sreabhadh seolta agus go sroicheann an freagra an mol sula dtéann an staid in éag. Is minic nach mbíonn sa teip aonbhealaigh a bhfuil cuma fadhb eochrach uirthi ach an ród fillte seo.

Ar deireadh, scar an crannchur láimhe ó na sonraí. Piara a chríochnaíonn an crannchur láimhe ach a stopann ar aistrithe móra bíonn fadhb MTU nó MSS aige ar an gcosán sin go háirithe, ní fadhb AllowedIPs. Tástáil le ping beag ar dtús, ansin le ceann lánmhéide, agus cuir an dá phiara i gcomparáid.

Céim 5: Athraigh rud amháin agus coinnigh an piara atá ag obair slán

Déan athrú amháin ar an gcosán a theipeann agus tástáil an dá phiara arís. Is é AllowedIPs gach piara a athsholáthar le 0.0.0.0/0 an bealach is tapúla chun an piara a bhí ag obair cheana a bhriseadh, mar athraíonn sé an cinneadh ródaithe do gach trácht ar an gcomhéadan sin. Cuir an iontráil amháin in eagar, athlódáil, agus léigh an staid bheo ar ais.

Taifead cén cosán ar éirigh leis, cén ceann a theip, agus aschur cruinn an ordaithe do gach ceann. Is fiú níos mó an chomparáid sin ná tuarascáil ghinearálta go bhfuil an VPN briste, agus is é an chéad rud a iarrfaidh an chéad duine eile.