Handshake na WireGuard yana aiki amma babu intanet: bi fakiti

Tunelin yana aiki, wg show yana bayar da rahoton handshake na kwanan nan, za ka iya ping adireshin tuneli na sabar, kuma babu abin da ke bayan sa da ke amsawa. Tunanin farko shi ne sake ƙirƙirar makullai ko sake raba tsarin. Wannan yana canza ainihin sashin hanyar da aka riga aka tabbatar yana aiki.

Handshake da ya kammala yana cewa ɓangarorin biyu sun yarda kan makullai, cewa UDP yana isa ƙarshen wuri, kuma cewa hanyar crypto tana karɓar fakitin. Ba ya cewa komai game da ko fakitin zai iya barin sabar bayan haka.

Don haka bi fakiti ɗaya maimakon yin hasashe. Akwai wurare huɗu da zai iya mutuwa, kuma kowanne yana barin alama daban.

Abin da handshake yake tabbatarwa a zahiri

WireGuard yarjejeniya ce ta UDP da ke kafa zaman da handshake na Noise sannan tana ɓoye fakiti don abokin tarayya. Lokacin da wg show ya nuna handshake na ’yan daƙiƙa da ma’aunin turawa da ke ƙaruwa, ƙarshen wuri, makullai da maɓallin jama’a na abokin tarayya duk daidai ne.

Abin da ba ya tabbatarwa shi ne cewa abokin cinikinka yana tura zirga-zirgar intanet cikin hanyar sadarwa kwata-kwata, cewa sabar yana shirye ya tura ta, ko cewa amsa na iya samun hanyar dawowa. Waɗannan shawarwari ne na hanyar kernel da katangar wuta, kuma ana yin su a wajen tunelin.

Wannan shine dalilin da yasa ping adireshin tuneli na sabar jarrabawa ce mai ruɗani haka. Wannan fakitin an aika zuwa ga sabar kanta, don haka yana ƙarewa a gida. Ba ya buƙatar turawa har abada, ba ya buƙatar fassara har abada, kuma ba ya buƙatar hanyar dawowa daga intanet har abada.

AllowedIPs shawara ce ta hanya

A kan abokin ciniki, AllowedIPs yana yin ayyuka biyu. Shi ne teburin hanyar maɓallin crypto wanda ke yanke shawarar waɗanne adiresoshin manufa ake turawa cikin tunelin wannan abokin, kuma shi ne jerin adiresoshin tushe da abokin zai karɓa daga gare ka. Idan tsarin abokin ciniki ya lissafa 10.8.0.0/24 kawai, manufofin jama’a ba sa shiga hanyar sadarwa har abada kuma hanyar da ka saba ta tafi da su a wajen tunelin. Sai tunelin ya yi aiki cikakke kuma ba ya yin komai daga abin da kake so.

Duba abin da abokin ciniki ya shigar da gaske maimakon abin da fayil ɗin tsari ya ce:

wg show wg0 allowed-ips
ip route get 1.1.1.1

Umarni na biyu shi ne mai yanke hukunci. Idan amsar ta ambaci hanyar sadarwar jikinka da kofar da ka saba, ba a tura fakitin cikin tuneli kuma babu wani canji a gefen sabar da zai gyara shi. Ƙara 0.0.0.0/0 don IPv4 da ::/0 don IPv6 daban; ƙa’idar da ke kama komai don iyali ɗaya tana barin ɗayan a kan hanyarsa ta asali, kuma wannan shine sanannen dalilin tunelin IPv4 mai aiki da binciken IPv6 da ya tsaya.

Inda fakitin yake mutuwa a kofa

Idan hanyar daidai ce kuma fakitin har yanzu bai je ko’ina ba, yana isa sabar kuma yana tsayawa a can. Bincike huɗu suna rufe yawancin kofofi.

Turawa. sysctl net.ipv4.ip_forward da ke mayar da 0 shine amsa ta gargajiya, kuma yawancin rarrabawa har yanzu suna kan 0 ta asali. Dole ya zama 1, kuma a sanya shi na dindindin a cikin fayil ɗin sysctl maimakon da umarni da ke ɓacewa lokacin sake farawa. Turawa IPv6 wata maɓalli ce daban.

Manufar tacewa. Sarkar FORWARD da manufar watsi ta asali za ta watsar da zirga-zirgar tunelin yayin da take barin zirga-zirga zuwa ga mai masaukin kanta, wanda ya dace da alamun daidai. Karanta jerin ƙa’idoji mai rai, ba fayil da aka ajiye ba: nft list ruleset ko iptables -S.

Fassara ko hanya. Abokan ciniki da ke amfani da adiresoshin tuneli na sirri suna buƙatar ko dai NAT na tushe a hanyar sadarwar fitar sabar ko kuma prefix ɗin da aka yi hanya wanda babbar hanyar sadarwa ta san yadda za ta mayar. Zaɓi tsakanin su yana bin shirin adireshi. Ƙara MASQUERADE zuwa hanyar sadarwar da ta riga ta yi hanyar prefix ɗinka dawowa ba shi da lahani amma ba shi da amfani, kuma barin shi a inda babu hanya yana barin amsoshi an aika su zuwa wuri na sirri da ba za a iya yi hanya ba.

Hanyar dawowa. A cikin ƙira da aka yi hanya, babban na’urar hanya yana buƙatar hanya da ke nuna sabarka. Hanyar sadarwar mai bayarwa kuma na iya toshe ta: wasu gizagizai suna kunna binciken tushe da manufa a kan instance, wanda ke watsar da fakiti a hankali waɗanda tushensu ba adireshin instance ɗin kansa ba, har sai an kashe wannan binciken.

DNS yana gazawa daban da hanya

Fakiti zuwa adireshin da aka sani da binciken suna biyu ne daban-daban gazawa, kuma saƙonnin kuskure suna ɓatarwa a hanyoyi dabam. Idan ping 1.1.1.1 yana aiki kuma burauza ba zai iya loda komai ba, hanyar tana da kyau kuma warware suna ba haka ba. Idan ping ɗin kansa ya kasa, DNS ba shi da mahimmanci kuma ka koma sashin da ya gabata.

wg-quick na iya saita resolver daga layin DNS = a cikin tsari, kuma systemd-resolved yana da nasa ɗabi’ar kowace hanyar sadarwa. VPN da ke maye gurbin resolver da adireshin da za a iya isa gare shi kawai a cikin tuneli zai kasa kowane bincike a lokacin da tunelin ya faɗi, wanda yake kama da tunelin yana lalata intanet.

Tsari da ke samar da hujja

Fara gwajin gefen abokin ciniki, domin umarni ɗaya ne kuma yana kawar da rabin yiwuwar. Sannan tabbatar ko an yi nufin sabar ya zama mafita ta intanet kwata-kwata; kofar da aka gina don shiga ta sirri ba ta lalace ba lokacin da manufofin jama’a suka kasa.

A kan sabar, kalli hanyar sadarwa yayin da kake aika ping daga abokin ciniki: tcpdump -ni wg0 icmp ya kamata ya nuna buƙatar, kuma tcpdump -ni eth0 icmp ya kamata ya nuna tana fita, an fassara ko ba a fassara ba. Idan ya bayyana a na farko kuma ba ya bayyana a na biyu, tsayawar na gida ne a sabar. Idan ya fita kuma babu amsa da ta dawo, matsalar tana sama, kuma wannan wata tattaunawa ce.

A ƙarshe, sa gyaran ya tsira daga sake farawa. Turawa tana cikin fayil ɗin sysctl, ƙa’idodin katangar wuta suna cikin sabis ɗin da ke loda su, kuma hanyoyin abokin ciniki suna cikin tsarin da ke ɗaga hanyar sadarwa maimakon a cikin shell da za ka manta. Sake haɗawa, maimaita gwaje-gwajen biyu ɗin, kuma tabbatar ma’aunan suna motsi.