AllowedIPs એ રાઉટિંગ યાદી છે, ફાયરવોલ નિયમ નથી

મોટાભાગના લોકો AllowedIPs ને પરવાનગીની યાદી તરીકે વાંચે છે, એટલે કે જે સરનામાં પીઅર સાથે જોડાઈ શકે છે, લગભગ ટનલ માટે લખાયેલા ફાયરવોલ નિયમ જેવું. એવું નથી. આ ફીલ્ડ બંને દિશામાં કામ કરતું રાઉટિંગ ટેબલ છે: તે બહારગામી પેકેટ માટે પીઅર પસંદ કરે છે અને આવતા પેકેટના સ્રોતની ચકાસણી કરે છે. તેને એક્સેસ યાદી તરીકે વાંચવાથી એવી રૂપરેખાઓ બને છે જે કોઈએ ન માંગેલો ટ્રાફિક રૂટ કરે છે.

એક ફીલ્ડ, બે વાચક: બહારગામી પસંદગી અને સ્રોતની ચકાસણી

ક્લાયન્ટમાં, પ્રીફિક્સ નક્કી કરે છે કે કયા લક્ષ્યો તે પીઅર તરફ જાય છે અને કયા સામાન્ય નેટવર્ક પર રહે છે. તેથી 0.0.0.0/0 માટેની એન્ટ્રી દરેક IPv4 લક્ષ્યને પકડે છે, અને એટલે જ આખા ટનલની પ્રોફાઇલ આયાત કરવાથી સામાન્ય બ્રાઉઝિંગ દૂરના મશીન દ્વારા જાય છે. સાંકડી એન્ટ્રીઓ ઊલટું કરે છે: ફક્ત તમે સૂચિબદ્ધ કરેલા નેટવર્ક રૂટ કરે છે અને બાકીનું બધું જ્યાં હતું ત્યાં જ છોડે છે. WireGuard દસ્તાવેજીકરણનો ક્રિપ્ટોકી રાઉટિંગ વિભાગ બંને કાર્યો એક જ જગ્યાએ જણાવે છે: બહારગામી પીઅરની પસંદગી અને આવતા સ્રોતની ચકાસણી.

સર્વર પર, એ જ ફીલ્ડ વર્ણવે છે કે દરેક પીઅર કયા સ્રોત સરનામાં વાપરી શકે છે. આ પેકેટ ફિલ્ટર નહીં પણ ક્રિપ્ટોગ્રાફિક ચકાસણી છે: જે પેકેટનો આંતરિક સ્રોત પીઅરની યાદી સાથે મેળ ખાતો નથી તે હોસ્ટના કોઈપણ ફાયરવોલને દેખાય તે પહેલાં WireGuardની અંદર જ કાઢી નાખવામાં આવે છે. બંને કાર્યો એક જ યાદી વહેંચે છે, અને એટલે જ બીજે થી નકલ કરેલી યાદી તમે વિચાર્યું ન હોય તેવી જગ્યાએ ખોટું વર્તન કરે છે.

ક્લાયન્ટ બ્લોક એ જગ્યા છે જ્યાંથી આ મોટાભાગની ગૂંચવણ શરૂ થાય છે. સ્પ્લિટ ટનલ દૂરના નેટવર્કનાં નામ આપે છે, અને આખું ટનલ એ જ ફીલ્ડ છે જેમાં ડિફોલ્ટ પ્રીફિક્સ હોય છે:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

બંને સ્વરૂપો પોતાનામાં પૂર્ણ છે, અને તે પગલાં નહીં પણ વિકલ્પો છે. પ્રથમ ફક્ત તે બે નેટવર્ક ટનલ દ્વારા મોકલે છે; બીજું દરેક લક્ષ્ય મોકલે છે, અને ::/0 એન્ટ્રી IPv4 ડિફોલ્ટમાં IPv6 ઉમેરે છે. તમે જે પણ પસંદ કરો, wg-quick રૂટ ઇન્સ્ટોલ કરવાનું શરૂ કરે ત્યારે તે પ્રીફિક્સ એ પીઅર માટેનો આખો રાઉટિંગ નિર્ણય છે.

હબને અલગ યાદીની જરૂર છે

હબ દરેક ક્લાયન્ટના ટનલ સરનામાને હોસ્ટ પ્રીફિક્સ તરીકે સૂચિબદ્ધ કરે છે, ઉપરાંત તે ક્લાયન્ટની પાછળ ખરેખર રહેલા કોઈપણ નેટવર્કને. ક્લાયન્ટની પહોળી યાદી દરેક હબ પીઅર પર નકલ કરવાથી હબને એમ કહેવાય છે કે ઘણા પીઅર એક જ સરનામાં સ્રોત તરીકે વાપરી શકે છે, અને તે સરનામા યોજના નથી. Endpoint ફીલ્ડ સંપૂર્ણપણે બીજા સ્તરનું છે: તે પીઅરનું બહારનું સરનામું અને પોર્ટ જણાવે છે, ક્યારેય ટનલની અંદરનું લક્ષ્ય નહીં.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

હોસ્ટ પ્રીફિક્સ ટનલ સરનામું ધરાવે છે અને નેટવર્ક પ્રીફિક્સ ક્લાયન્ટની પાછળ જે છે તે ધરાવે છે, અને બંને જરૂરી છે. હોસ્ટ પ્રીફિક્સ વિના હબ ક્લાયન્ટનો પોતાનો ટ્રાફિક પાછો મોકલી શકતું નથી, અને નેટવર્ક પ્રીફિક્સ વિના તેની પાછળનું LAN અગમ્ય રહે છે; પાછળ કંઈ ન હોય તેવા પીઅરને ફક્ત હોસ્ટ પ્રીફિક્સ મળે છે.

રૂટ ઇન્સ્ટોલેશન છોડવાથી ખાલી જગ્યા રહે છે

wg-quick, જે રૂપરેખા ફાઇલમાંથી ઇન્ટરફેસ ઉભો કરતું સહાયક છે, તે કામના ભાગ રૂપે ઇન્ટરફેસ સરનામાં અને રૂટ ઇન્સ્ટોલ કરે છે. Table = off સેટ કરવાથી સહાયકને રૂટનું કામ છોડી દેવાનું કહેવાય છે, જે વિકલ્પો ઇન્સ્ટોલ કરતું નથી અને ખાનગી નેટવર્કને ગમ્ય બનાવતું નથી. જ્યારે સ્વયંસંચાલિત રૂટ પહેલેથી કામ કરે છે, ત્યારે જરૂરી પ્રીફિક્સનાં નામ આપવા વધુ સ્પષ્ટ રૂપરેખા છે. રૂટ મેનેજમેન્ટ બંધ કરીને વિકલ્પ અલિખિત છોડવો ડિઝાઇન નથી, તે એક ચૂક છે.

મૂળ wg સાધન અલગ રીતે વર્તે છે: તે ઇન્ટરફેસ ગોઠવે છે અને ક્યારેય રૂટને અડતું નથી, તેથી તેના પર સીધું બાંધેલા સેટઅપને તેના પોતાના રૂટ આદેશોની જરૂર પડે છે. એક સાધન માટે લખાયેલી સૂચનાઓ બીજા સાથે અનુસરતા ખોટી લાગી શકે છે. સફળ ping પણ નબળો પુરાવો છે, કારણ કે તે તમને જરૂરી દરેક એપ્લિકેશન માર્ગને બદલે એક જ માર્ગ ચકાસે છે.

DNS અને IPv6 અલગથી નક્કી થાય છે

ટનલ જે DNS સર્વર સરનામું જાહેર કરે છે તે તપાસો, અને તમે પસંદ કરેલા પ્રીફિક્સ દ્વારા તે સરનામા સુધીનો રૂટ છે તેની ખાતરી કરો. રિઝોલ્વર સેટિંગ રિઝોલ્વરને ગમ્ય બનાવતું નથી, અને ટનલ સાંકડી કરવાથી ત્યાં જતો રૂટ શાંતિથી દૂર થઈ શકે છે. IPv6 પણ અલગથી તપાસો, કારણ કે સાચી IPv4 વિભાજન એ IPv6 ડિફોલ્ટ રૂટ વિશે કંઈ કહેતું નથી જે હજી ભૌતિક કડી તરફ ઈશારો કરે છે. એક પીઅર બ્લોક સંપાદિત કરતી વખતે ત્રણ અલગ નિર્ણયો એકસાથે બદલાઈ શકે છે.

પછી જાણીતી શરૂઆતની રૂપરેખામાંથી એક ખાનગી સંસાધન અને એક સામાન્ય વેબસાઇટ ખોલો. જો સંસાધન જવાબ આપે અને બ્રાઉઝિંગ હજી સ્થાનિક કનેક્શન દ્વારા બહાર જાય, તો સ્પ્લિટ તમે માંગ્યું તે કરે છે. જો તે જ ક્ષણે બ્રાઉઝિંગ તૂટી પડે, તો ટનલે ડિફોલ્ટ રૂટ લીધો છે અને પ્રીફિક્સ યાદી એ જ જગ્યા છે જ્યાં જોવું જોઈએ.