Երկու բջջային տեղամաս առանց ներքին պորտերի՝ կառուցեք աշխատող հանգույց

Բջջային կապուղիների վրա գտնվող երկու տեղամասեր նույն խնդիրն ունեն երկու ուղղությամբ էլ՝ ոչ մեկը չի կարող ընդունել չպահանջված IPv4 միացում, ուստի ոչ մեկը չի կարող սերվերի դեր խաղալ ուղիղ թունելում։ Աշխատող ճարտարապետությունը մեջտեղում դնում է հասանելի երրորդ կողմ՝ յուրաքանչյուր տեղամաս հավաքում է դեպի դուրս, իսկ մեջտեղը փոխանցում է միայն այն երթևեկությունը, որը դուք հաստատում եք։ Այդ մեջտեղը կարող է լինել ձեր կողմից շահագործվող երթուղիչ կամ ապրանք, որը ներկայացնում է զուգակիցներին, և դրանք նույնը չեն։ Ստորև քայլերը դասավորված են այնպես, որ յուրաքանչյուրը ապացույց տա, նախքան հաջորդը կկախված լինի դրանից։

Ոչ մի տեղամաս հնարավոր չէ զանգահարել, ուստի երկուսն էլ պետք է դուրս զանգահարեն

Հաստատեք սահմանափակումը նախքան դրա շուրջ նախագծելը։ Եթե օպերատորը WAN միջերեսին մասնավոր հասցե է տալիս, տեղամասի սեփական երթուղիչի վրա ոչ մի պորտի փոխանցում այն հասանելի չի դարձնի, քանի որ թարգմանությունը տեղի է ունենում վերևում։ Նույն կապուղու վրա կարող է լինել հանրային IPv6 հասցե և ամբողջությամբ փոխել նախագիծը, դրա համար էլ ստուգումն ընդգրկում է երկու ընտանիքները։ Գրառեք պատասխանը յուրաքանչյուր տեղամասի համար, քանի որ երկուսը հազվադեպ ունեն նույն սահմանափակումները, նույնիսկ երբ կիսում են օպերատորին։

Սովորական բջջային դեպքը նման է օպերատորի թարգմանված տիրույթից հասցեի՝ դրա միջով անցնող լռելյայն ուղով։ Սա վերանորոգման ենթակա խափանում չէ, սա է հանգույցի գոյության պատճառը։ Դուք փնտրում եք ցանկացած հասցե, որին երրորդ կողմը կարող է հասնել առանց տեղամասի նախապես խոսելու։

Երկու հրաման պատասխանում են ձեր դիմաց գտնվող տեղամասի հասցեավորման հարցին։ Գործարկեք դրանք տեղամասի երթուղիչում, ոչ թե դրա հետևում գտնվող նոթբուքում՝

ip -4 addr show scope global
ip -6 addr show scope global

Ով է ներկայացնում զուգակիցներին, և ով է կրում փաթեթները

Ներկայացումը և փոխադրումը առանձին աշխատանքներ են, որոնք ապրանքները հաճախ միավորում են՝ սահմանը տեսանելի չդարձնելով։ Հանդիպման մեխանիզմն օգնում է երկու զուգակցի գտնել թեկնածու ուղի, ռելեն կրում է նրանց փաթեթները, երբ ուղիղ ուղի չկա։ Զուգակիցներին ներկայացնող ծառայություն գնելը ձեզ երթուղիչ չի տալիս, և այդ տարբերությունն է որոշում՝ նախագծին ընդհանրապես հանգույց պե՞տք է։

Անցումն ունի իր բառապաշարը, և բառերը նկարագրում են դերեր, ոչ երաշխիքներ։ ICE բնութագիրը նկարագրում է թեկնածուներին և կապակցվածության ստուգումները, STUN-ը նկարագրում է հասցեների թարգմանության մասին իմանալու մեկ եղանակ, իսկ TURN-ը նկարագրում է ռելեով փոխադրում այն հավելվածների համար, որոնք այն իրականացնում են։ Այս մեխանիզմներից ոչ մեկը չի հայտնվում սովորական դարպասում, քանի որ դուք այն ուղղել եք հայտնաբերման հասցեի։ Ստուգեք անցումը որպես ապրանքի հնարավորություն և ենթադրեք ռելե, քանի դեռ թեստը հակառակը չի ցույց տվել։

Մեկ ուղի յուրաքանչյուր տեղամասի համար՝ զուգակցի պատկանող

Հանգույցին պետք է մեկ թունել յուրաքանչյուր տեղամասի համար, յուրաքանչյուրի հետևում առանձին LAN նախածանց և յուրաքանչյուր նախածանցի համար ուղի, որը նշում է դրա սեփականատիրոջը։ Օրինակում հանգույցը 10.61.0.1 է, A տեղամասը՝ 10.61.0.11՝ LAN 10.60.10.0/24-ով, իսկ B տեղամասը՝ 10.61.0.12՝ LAN 10.60.20.0/24-ով։ Ստորև յուրաքանչյուր ուղի մատնանշում է նախածանցը տիրող զուգակցին, ոչ թե թունելի միջերեսին՝

ip route add 10.60.10.0/24 via 10.61.0.11 dev wg0
ip route add 10.60.20.0/24 via 10.61.0.12 dev wg0
sysctl net.ipv4.ip_forward
ip route get 10.60.20.55 from 10.60.10.77

Փոխանցումը պետք է միացված լինի, այլապես փաթեթները կանգնում են հանգույցում առանց պատճառը ցույց տվող սխալի։ Վերջին հրամանը պատասխանում է իրական հարցին, որովհետև հարցնում է, թե փաթեթը A տեղամասի LAN-ից B տեղամասի LAN ինչ ուղի կանցնի՝ աղբյուրը ներառված որոնման մեջ։ Թունելի միջերեսը նշող որոնումը համարեք ապացույց, իսկ լռելյայն ուղուն ընկնողը՝ բացակայող ուղի, ոչ թե հանելուկ։ Այնուհետև միտումնավոր սահմանափակեք տրանզիտը, որովհետև յուրաքանչյուր զուգակցի միջև փոխանցող հանգույցը երկու տեղամասը դարձնում է հարթ ցանց, և ձեր ենթադրած մուտքի քաղաքականությունը դադարում է գործել։

Որոշեք նաև, թե որտեղ է ավարտվում գաղտնագրումը։ Երբ հանգույցը պահում է թունելի երկու ծայրերը, այդ մեքենայի օպերատորն ու նրա աշխատանքային բեռը միանում են վստահության և հասանելիության մոդելին, և նրա թողունակությունը դառնում է ուղու մաս։

Պահեք յուրաքանչյուր քարտեզագրում կենդանի օպերատորի միջով

Յուրաքանչյուր տեղամաս սկսում է իր թունելը, և յուրաքանչյուրը պետք է կենդանի պահի թարգմանության քարտեզագրումը, այլապես օպերատորը կմոռանա այն։ Նախաձեռնող կողմի կենդանի պահելու հաղորդագրությունը պահպանում է այդ քարտեզագրումը ձեռքսեղմումների միջև։ Սահմանափակեք թույլատրված նախածանցերը հանգույցի հասցեով և հեռավոր LAN-ով, որպեսզի վտանգված զուգակիցը չկարողանա պահանջել նախածանց, որը չի պատկանում իրեն՝

[Peer]
PublicKey = <hub public key>
Endpoint = 192.0.2.10:51820
AllowedIPs = 10.61.0.1/32, 10.60.20.0/24
PersistentKeepalive = 25

Կրկնօրինակեք բլոկը մյուս տեղամասում իր սեփական հեռավոր նախածանցով, և դիմացեք ամբողջ թունելի տիրույթը թույլատրելու ցանկությանը։ Ձեռքսեղմումը, որը կանգ է առնում և նոր աղբյուրի պորտից շարունակվում, ժամկետանց քարտեզագրման ստորագրությունն է, իսկ ձեռքսեղմման ժամանակադրոշմները ապացույցն են, որ դա տեղի է ունեցել։ Օպերատորի ժամկետից ավելի կարճ միջակայքը կանխում է ժամկետանցումը՝ փոխարենը հետո վերանորոգելու։ Երբ օպերատորը փոխում է իր թարգմանության վարքը, սպասեք, որ այդ ժամկետները կփոխվեն նրա հետ։

Ապացուցեք երկու ուղղությունները, ապա ապացուցեք վերականգնումը

Ստուգումը ուղղորդված է, ուստի A-ից B ping-ը ապացուցում է նախագծի կեսը և ոչինչ վերադարձի ուղու մասին։ Ստուգեք պատասխանի ուղին հանգույցում նույն աղբյուրազգայուն որոնմամբ, ապա կրկնեք թեստը մյուս կողմից։ Թարմ ձեռքսեղմումները նույնպես ապացույցի մաս են, քանի որ մեկ ժամ անգործ թունելը կարող է հին քարտեզագրում փորձարկել՝

wg show wg0 latest-handshakes
ping -c 3 10.60.20.55
traceroute -n 10.60.20.55

Այնուհետև փորձարկեք ձեր սպասած ձախողումը, ոչ թե ցանկալի հաջողությունը։ Վերսկսեք մեկ տեղամասի կապուղին և հաստատեք, որ թունելը վերադառնում է առանց որևէ ծայրին մարդու դիպչելու, որովհետև օպերատորի յուրաքանչյուր փոփոխությունից հետո օպերատոր պահանջող նախագիծը անավարտ է։ Գրառեք հիմնական ուղին, IPv6 այլընտրանքը, երբ այն կա, և վարքը, երբ հանգույցը հասանելի չէ։ Հանգույցն այժմ ձեր հասանելիության մոդելի մասն է, ուստի գրեք այն, փոխարենը ընդհատման ժամանակ հայտնաբերելու։