Firfisin mai masauki a WireGuard: me ya sa adireshi ɗaya ke aiki sauran kuma ba su aiki

Ramuka a buɗe yake, handshake yana faruwa kowane minti biyu, kuma daidai adireshi ɗaya a wancan gefen yana amsawa. Ping ɗin zuwa adireshin ramuka na peer ɗin suna aiki; babu abin da ke bayansa. Wani ya karanta saitin mu’amala, ya ga firfisin mai masauki kuma ya yanke shawarar cewa mask ɗin ba daidai ba ne. Faɗaɗa shi zuwa /24 yana gyara ping ɗin na ɗan lokaci sannan ya karya wani abu. Firfisin bai taɓa zama sanadi ba, kuma hanyar da ta ɓace ba ita ce mask ɗin yake sarrafawa ba.

Abin da firfisin mu’amala yake ƙirƙira da gaske

A Linux, sanya adireshi ga mu’amala yana ƙirƙirar hanyar da aka haɗa don wannan firfisin. Idan ka sanya firfisin mai masauki, hanyar da aka haɗa tana rufe adireshi ɗaya. Idan ka sanya /24, tana rufe 256, kuma kowanne daga cikinsu yanzu ana ɗaukarsa a matsayin wanda za a iya isa gare shi ta wannan hanyar sadarwa.

ip -4 addr show dev wg0
ip -4 route show dev wg0
ip route get 10.80.7.1

Firfisin mai masauki zaɓi ne na al’ada ga ramuka na aya-zuwa-aya, domin akwai peer guda ɗaya daidai a wancan ƙarshen. Umarni na uku shine wanda ke amsa tambayar mai amfani: yana faɗin wace mu’amala kernel ɗin zai yi amfani da ita don wannan manufa, kuma ba zai nuna wani abu mai amfani ba idan babu hanyar da ta dace.

Wannan shine dukkan bayanin alamar. Adireshi ɗaya yana amsawa domin akwai hanyar da aka haɗa dominsa, ko kuma domin jerin da aka yarda na peer ɗin ya haɗa da shi bisa gaɓar. Duk sauran ba su da hanya kuma ana watsar da su kafin WireGuard ya shiga ciki. Ramukan suna cikin lafiya duk tsawon lokacin, shi ya sa mai ƙidayar handshake yana ci gaba da kamar yana kwantar da hankali.

AllowedIPs dokoki biyu ne a ƙarƙashin suna ɗaya

Jerin da aka yarda na kowane peer a WireGuard yana yin ayyuka biyu a lokaci ɗaya, kuma tsarin saitin yana sa su zama kamar ɗaya. A shigowa, yana ba da izini waɗanne adiresoshin tushe peer zai iya gabatarwa. A fita, yana zaɓar wane peer ake aika fakiti zuwa gare shi, ta hanyar nemo mafi takamaiman daidaito.

Babu ɗaya daga cikin waɗannan ayyukan da ya zama sarrafa hanya. Kernel ɗin har yanzu dole ya yanke shawarar cewa fakiti na cikin hanyar shiga ta ramuka kafin WireGuard ya dube shi, kuma wannan shawarar ta fito ne daga teburin sarrafa hanya. Shigarwar peer mai faɗin jerin da aka yarda ba ya girka hanya da kansa ba.

Shi ya sa saiti zai iya zama kamar cikakke amma ya yi aiki ba daidai ba. Abokin ciniki yana aika zuwa wancan gefen domin akwai hanya, kuma amsoshi ba sa taɓa zuwa domin jerin da aka yarda na wancan gefen bai yarda da tushen abokin ciniki ba, ko kuma domin wancan gefen ba shi da hanyar dawowa. Dukan ƙungiyoyin biyu shawarwari ne daban-daban da hanyoyin gazawa daban-daban. Rubuta wanda kake gwadawa shine rabin ganewar asali.

Daga ina hanyar take zuwa

Idan kana amfani da wg-quick, ana ƙirƙirar hanyoyi gare ka daga jerin da aka yarda na kowane peer, sai dai idan ka saita Table = off kuma ka karɓi iko da kanka. Wannan shine halin da kayan aikin ya rubuta, kuma shine dalilin da ya sa saiti marar bayyanannun umarnin hanya ke aiki duk da haka.

sudo wg show wg0 allowed-ips
ip route show | grep wg0
sudo wg-quick strip wg0

Kwatanta jerin da aka yarda da hanyoyin da suke da gaske. Peer da ya yarda da dukan subnet amma ya ƙirƙira hanyar mai masauki kawai yana nufin mai taimako bai taɓa gudana ba, ko kana sarrafa mu’amalar kai tsaye da wg da ip, a wannan yanayin babu abin da ke ƙirƙirar hanyoyi gare ka.

Lokacin da kake sarrafa ta da hannu, hanyar layi ɗaya ce kuma siffarta a bayyane take: manufar ta hanyar mu’amala, ba tare da ƙofa ba domin hanyar sadarwa aya-zuwa-aya ce. Ƙara ta ba wata hanya ce ta gujewa firfisin mara kyau ba; ita ce rabin da ya ɓace na zane da ya zaɓi ya ɗauki nauyin sarrafa hanya da kansa.

Faɗaɗɗen firfisi ba ya ƙara shigarwar peer

Gyaran da ke jan hankali shine a canza adireshin zuwa /24 domin hanyar da aka haɗa ta rufe LAN ɗin uwar garke. Yana kama da yana aiki, kuma dalilin da ya sa yake kama da yana aiki shine hanyar da aka haɗa yanzu ta dace, ba wai WireGuard ya koyi wani sabon abu ba.

Abin da kuma ka yi shine ka yi iƙirarin dukan kewayon a matsayin wanda ake iya isa kai tsaye ta wannan hanyar sadarwa, har da adiresoshin da na wasu peers ne ko na LAN da ke bayan uwar garke a zahiri. Harkokin da ke zuwa waɗannan adiresoshin yanzu suna shiga ramuka, kuma ko zai fito a wancan gefen ya dogara da sarrafa hanya da jerin da aka yarda na uwar garken kanta.

Bangaren kripto ba ya shafa ko kaɗan. WireGuard har yanzu yana bukatar shigarwa a jerin da aka yarda wanda ya rufe manufar don zaɓar peer, kuma wancan gefen har yanzu yana bukatar shigarwa wanda ya rufe tushenka don karɓe shi. Faɗaɗɗen firfisin mu’amala ba zai iya samar da ko ɗaya ba.

Tabbatar da ƙungiyoyin biyu kafin ka canza wani abu

Yi aiki da ƙarshen biyu daban kuma rubuta abin da kowanne ya faɗa. A abokin ciniki hanya da shigarwar peer; a uwar garke hoton madubi tare da hanyar dawowarsa:

ip route get 192.168.70.20
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo tcpdump -ni wg0 -c 10

Kamun shine abin da ke warware rigingimu game da alkibla. Idan fakiti masu fita sun bayyana a mu’amalar ramuka kuma uwar garke ba ta yin rikodin komai, ƙarshen nesa yana ƙin su, yawanci domin tushenka yana wajen jerin da aka yarda nasa. Idan babu abin da ya bayyana kwata-kwata, hanyar ta ɓace ko tana nuni zuwa wani wuri.

Sannan gyara ƙarshen da ya fi ƙunci. Shigarwa a jerin da aka yarda a gefen uwar garke don adireshin abokin cinikinka da shigarwa a gefen abokin ciniki don subnet ɗin manufa shine siffar al’ada, kuma tana barin firfisin mu’amala cikin kwanciyar hankali. Faɗaɗa firfisin ne kawai idan shirin adireshi da gaske yana son raba subnet a wannan hanyar sadarwa, kuma yi shi a matsayin canjin shiri ba matakin gyara kuskure ba.