Երկու WireGuard peer կիսում են մեկ միջակայք. ով է ստանում փաթեթը
Համընկնող միջակայքերը լուծվում են ամենակոնկրետ նախածանցով, ոչ թե հերթականությամբ. նախ ստուգեք երթուղին, ապա peer-ների ցանկը, նախքան որևէ բան լայնացնելը:
Երկու peer թվարկում են միջակայքեր, որոնք հպվում են, և երթևեկությունը հասնում է սխալին։ Ոչինչ վնասված չէ՝ WireGuard-ը peer է ընտրում՝ նպատակակետը համեմատելով կարգավորված միջակայքերի հետ, և հաղթում է ամենակոնկրետ համընկնումը։ Նախքան որևէ բան լայնացնելը, որոշեք, թե որ peer-ը պետք է տիրապետի որ նախածանցին։
Ամենաերկար նախածանցը հաղթում է WireGuard-ի ներսում
Յուրաքանչյուր peer գրառում կրում է նպատակակետ նախածանցների հավաքածու։ Երբ փաթեթը երթուղվում է ինտերֆեյս, իրականացումը փնտրում է ամենակոնկրետ համընկնող նախածանցով գրառումը՝ նույն կանոնը, որը կիրառում է երթուղային աղյուսակը։ Այդպիսով /24-ը հաղթում է այն պարունակող /16-ին, և ավելի նեղ peer-ը ստանում է երթևեկությունը։
Road-warrior կարգավորումները սա օգտագործում են դիտավորյալ։ Մեկ peer տիրապետում է լայն միջակայքի՝ կայքի համար, իսկ առանձին հոսթերը առանձնացվում են /32 գրառումներով, որոնք պատկանում են այլ peer-ների։ Ձևանմուշն աշխատում է, որովհետև առանձնացումներն ավելի կոնկրետ են, ոչ թե հերթականության պատճառով։
Գրանցեք սեփականությունը որպես նախածանցի և peer-ի աղյուսակ։ Եթե երկու գրառում նկարագրում են նույն նախածանցը, կարգավորումն այլևս մտադրություն չի արտահայտում, այն արտահայտում է մրցավազք։
Օպերացիոն համակարգը նախ ընտրում է ինտերֆեյսը
WireGuard-ը ընտրում է միայն մեկ ինտերֆեյսի peer-ներից։ Թե որ ինտերֆեյսն է ստանում փաթեթը, որոշվում է ավելի վաղ՝ հոսթի երթուղային աղյուսակով, և երկրորդ լռելյայն երթուղին կամ հնացած երթուղին կարող է երթևեկությունն ուղարկել այնտեղ, որտեղ peer-ների ցանկը երբեք չի տեսնում այն։ Այդ պատճառով peer մակարդակի ախտորոշումը կարող է ճիշտ լինել և այնուամենայնիվ չբացատրել խափանումը։ Ստուգեք երթուղին դեպի նպատակակետը՝ նախքան peer-ի կարգավորումը կարդալը, որովհետև ֆիզիկական ինտերֆեյսին ուղղված երթուղին շրջանցում է ամբողջ հարցը։
Գործիքը սովորաբար այդ երթուղիները տեղադրում է peer-ների միջակայքերից, ինչը նշանակում է, որ մեկ peer-ի ցանկի փոփոխությունը կարող է լուռ վերաուղղորդել նախկինում մեկ այլ peer-ին պատկանող երթևեկությունը։ Այսպիսով peer-ի խմբագրումը քողարկված երթուղային փոփոխություն է։ Վերանայեք երկուսը միասին, այլապես մեկը կուղղեք և մյուսը կկոտրեք։
Ներս եկող փաթեթները ստուգվում են ըստ աղբյուրի
Միջակայքերի ցանկը կրկնակի դեր է կատարում։ Ելքային երթևեկության համար այն peer է ընտրում ըստ նպատակակետի, իսկ ներս եկող երթևեկության համար լիազորում է աղբյուրի հասցե։ Այդ peer-ի միջակայքերից դուրս հասցեից եկող փաթեթը հեռացվում է նախքան որևէ ֆայրվոլ կտեսնի այն։
Այդ ասիմետրիան հեշտ է բաց թողնել, երբ կարդում եք կարգավորման մի կողմը։ Peer-ը, որը կարող է հասնել ենթացանց, դրանով իսկ իրավունք չի ստանում ուղարկել այդ ենթացանցից, և երկու ուղղությունները պարտադրվում են տարբեր ստուգումներով։
Աղբյուրի նեղ սեփականությունը սա վերածում է առավելության։ Տվեք յուրաքանչյուր peer-ին /32 իր սեփական հասցեի համար, և ներքևի ֆայրվոլը կունենա վստահելի աղբյուր համեմատելու համար, փոխարենը խմբային միջակայքի, որը ցանկացած անդամ կարող է պահանջել։
Կրկնակի միջակայքերը failover չեն
Նույն նախածանցը երկու peer-ի հանձնելը չի ստեղծում բեռնվածքի հավասարակշռիչ կամ պահուստային ուղի։ Չկա առողջության ստուգում և չկա սեսիայի կապվածություն՝ հաղթող գրառումը որոշվում է իրականացման ներքին հերթականությամբ, ինչը պայմանագիր չէ, որի վրա պետք է նախագծել։ Եթե այլընտրանքային ելքեր են պետք, արտահայտեք դրանք այնտեղ, որտեղ սահմանված է ընտրությունը։ Երթուղային քաղաքականությունը, մետրիկը կամ տարբեր նախածանցների զույգը՝ յուրաքանչյուրի համար փաստաթղթավորված տերով, տալիս են վարք, որը կարող եք կանխատեսել և ստուգել։
Միջակայքի լայնացումը՝ անկապ խափանումը շտկելու համար, մյուս սովորական սխալն է։ Այն երթևեկությունը հեռացնում է աշխատող peer-ից, և նոր ախտանիշը գալիս է նախքան հինը հասկանալը։
Ստուգեք ընտրությունը՝ նախքան խմբագրելը
Երեք հրահանգ պատասխանում են երեք հարցերին հերթականությամբ։ Առաջինը թվարկում է միջակայքերը, որոնք պահանջում է յուրաքանչյուր peer-ը։ Երկրորդը ցույց է տալիս, թե որ ինտերֆեյսը հոսթը կօգտագործի նպատակակետի համար։ Երրորդը ցույց է տալիս peer-ների կենդանի վիճակը՝ երթևեկության անցնելուց հետո։
wg show wg0 allowed-ips ip route get 10.66.8.20 wg show wg0 ip rule show
Գործարկեք դրանք փոփոխությունից առաջ և հետո ու համեմատեք։ Եթե երթուղու ելքը փոխվել է, բայց երթևեկությունը դեռ հասնում է սխալ peer-ին, նախածանցների ցանկերը համընկնում են այնպես, ինչպես դեռ չեք գրառել։ Եթե երթուղու ելքը չի փոխվել, peer-ի կարգավորումը երբեք այն չէր, ինչին հարցնում էին։
Տոմսում գրանցեք նպատակակետը, ընտրված ինտերֆեյսը և ընտրված peer-ը։ Այդ եռյակն է, որ համընկնումը դարձնում է ավելի ուշ վերանայելի, և այն շատ ավելի օգտակար է, քան կարգավորման էկրանի պատկերը։