Ƙungiyoyin abokan WireGuard a hub: mallakar tushe da manufa

Hub da ke gudanar da WireGuard zai iya raba ƙungiyoyin abokan ba tare da wata daban ta hanyar sadarwa ko teburin turawa ga kowace ƙungiya ba. Hanyoyi biyu ne ke yin aikin, kuma rikita su shi ne dalilin da ya saba sa manufa ta yi kama da daidai amma ba ta yin komai. Wani mataki ɗaya yana yanke shawarar wanda zai iya neman adireshin tushe. Wani kuma yana yanke shawarar inda aka yarda wannan fakiti ya je.

Ayyuka biyu, an raba su

Matakin tunnel ɗin yana amsa tambaya ƙunci: shin makullin wannan abokin ya ba da izini ga wannan adireshin tushe na ciki. Matakin turawa yana amsa wadda ta fi faɗi: shin wannan fakiti zai iya fita zuwa wannan manufa. Babu ɗaya da ke amsa tambayar ɗayan, kuma babu ɗaya da shi kaɗai ya zama cikakkiyar manufar shiga.

Wannan rabuwa shi ne dalilin da zai sa aboki ya zama tabbatacce, an ba shi adireshi daidai, amma har yanzu ba zai iya isa wani mai masaukin da bai kamata ya isa ba. Hakanan yana bayyana akasin haka: dokar wutar bango da ke barin komai ba ta tabbatar da komai game da wanda zai iya neman wane adireshi ba.

Ka tsara matakan biyu tare, sannan ka gwada duka biyu. Tsarin da ya yi daidai a wani mataki kuma ba a gwada shi a ɗayan yana kasawa a buɗe ko a rufe dangane da tsoho.

Kada ka ba kowane aboki sai adireshinsa kaɗai

Abokan da ke da masaukai da yawa suna jarabtar ka da ba da dukan kewayon ƙungiya a gefen uwar garke. Wannan izini neman adireshin tushe ne, don haka wani abokin ciniki da aka lalata ko aka tsara shi ba daidai ba zai iya gabatar da kowane adireshi a cikin kewayon kuma tunnel ɗin zai karɓe shi. Ka ba da /32 ga kowane aboki don adireshinsa na ciki. Ka saita kewayon ƙungiya a kan abokan ciniki kaɗai, inda suke bayyana waɗanne manufofi wannan abokin ciniki zai iya isa maimakon waɗanne tushe zai iya amfani da su.

Sannan wutar bango tana daidaita tushen da za ta iya dogara da shi. Dokar da aka rubuta don kewayon ƙungiyar har yanzu tana da amfani wajen rukuni, kuma tana da ma’ana ne kawai lokacin da babu wani aboki ɗaya da zai iya neman adireshin da ya ke na wani memba.

Ka rubuta manufar turawa da ke raba ƙungiyoyi

Harkar da ke da muhimmanci a nan tana shiga kuma tana fita ta hanyar tunnel ɗaya, don haka tana wuce hanyar turawa ba hanyar shigar mai masauki ba. Dokoki suna cikin sarkar turawa da ta wanzu ta duk mai kula da wutar bango wanda ya mallaki mai masaukin, kuma guntu-guntu ne ba cikakken tsarin dokoki ba.

iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept
iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept
iifname "wg0" oifname "wg0" drop

Dokoki biyu na farko suna ba da izinin harka a cikin kowace ƙungiya. Na ƙarshe yana toshe duk sauran da ke wuce wannan hanyar, kuma shi ne ke haifar da rabuwa tsakanin ƙungiyoyin. Ka ƙara bayyanannun dokoki ga ɗayan iyali na adireshi idan kana buƙatar su, domin drop da aka rubuta don IPv4 ba ya ba da izini ko bayyana halin IPv6.

Tsari shi ne ke yanke shawarar ko manufar za ta yi aiki

Tsarin dokoki ya fi guntun da kansa muhimmanci. Wata gama-gari doka da ke karɓar haɗin da aka kafa kuma aka sanya ta gaban waɗannan shigarwar tana barin tsohuwar kwarara tsakanin ƙungiyoyi ta ci gaba, don haka rabuwar tana aiki ne kawai ga sabbin haɗi. Ka yanke shawarar wanne daga cikin waɗannan sakamakon biyu kake so kafin ka sake lodawa.

Hukuncin karɓa ma ba koyaushe yake ƙarshe ba a tsakanin sarkoki a wannan ƙugiya. Idan wata sarkar tushe ta gudana daga baya, manufar da ke aiki ita ce haɗin, don haka ka duba masu ƙidaya ba fayil ɗin da ka gyara ba. Masu ƙidaya su ne mafi arha shaidar da ake da ita. Dokar da ba ta da ƙididdigar fakiti ba ta dacewa, kuma dokar da ta dacewa yayin da sarkar baya ke karɓa tana gaya maka cewa drop ɗin yana wurin da bai dace ba.

Ka gwada matrix ɗin, ba adadin fayiloli ba

Ka gina ƙaramin matrix na sakamakon da ake tsammani kuma ka duba kowane tantanin. Ƙungiya A zuwa ƙungiya A ya kamata ya yi aiki, ƙungiya B zuwa ƙungiya B ya kamata ya yi aiki, kuma A zuwa B bai kamata ba, a duka alkiblobi da duka iyalan adireshi idan kana tallafa musu.

nft list ruleset
wg show wg0 allowed-ips
ping -c 2 10.66.10.5
conntrack -L -s 10.66.20.7 2>/dev/null | head

Biyu na farko suna nuna abin da aka saita. Ping daga memba na ƙungiyar da ba daidai ba yana nuna abin da ke faruwa a zahiri. Jerin conntrack yana nuna ko ana karɓar tsohuwar kwarara har yanzu, kuma haka ne canjin rabuwa ke kasawa a hankali ya fara aiki.

Ayyukan mai masauki a hub da shiga LAN da ke bayansa hanyoyi ne daban tare da manufa daban. Ka rubuta wanne daga cikinsu matrix ɗin ya rufe, domin gwajin da ke duba harkar aboki-da-aboki kaɗai ba ya faɗin komai game da ko ɗaya daga cikinsu.