mDNS yfir WireGuard: þrjú hlið áður en jafningi svarar
Avahi þarf hæft viðmót, leið að hópnum og jafningja sem á áfangastaðinn. Þrjú hlið, þrjár aðskildar prófanir og engin dreifing.
Að setja multicast-fánann á WireGuard-tæki gerir viðmótið hæft fyrir uppgötvunarhugbúnað, og það er allt sem fáninn gerir. Hann segir samskiptareglunum ekki hvert hópspakki á að fara, og á tæki með nokkra jafningja er ekkert eitt augljóst svar. Þrjú aðskilin hlið standa milli keyrandi dæmis og uppgötvaðrar þjónustu.
Prófaðu þau í röð, því að komast í gegnum eitt segir þér ekkert um það næsta.
Fyrsta hlið: fáninn og stefna dæmisins
Linux WireGuard-tæki er búið til sem punkt-í-punkt tenging án ARP, og það ber ekki multicast-fánann sjálfgefið. Að bæta fánanum við er staðbundin breyting á viðmótinu, framkvæmd af því sem stýrir tækinu. Avahi hefur sína eigin heimsmynd ofan á þetta, og sjálfgefin stefna þess sleppir punkt-í-punkt viðmótum algjörlega. Tvær óháðar hæfnisprófanir gilda því áður en einn einasti pakki hreyfist.
Dæmið þarf því skýra ákvörðun, ekki bara keyrandi ferli. Skjalfestu stýringar þess eru meðal annars allow-interfaces, deny-interfaces og allow-point-to-point, og síðasta er stillingin sem fólk missir af.
Prófanirnar hér að neðan greina frá fánum tengingarinnar, multicast-leiðinni og hvort stilling dæmisins er yfirhöfuð þáttuð:
ip -d link show wg0
ip route get 224.0.0.251
avahi-daemon --checkDæmi sem ræstist með góðum árangri hefur ekki endilega opnað sökklar á viðmótinu sem þér er amt um. Lestu virka stillingu þess í stað þess að gera ráð fyrir að staða þjónustu jafngildi umfangi.
Annað hlið: leiðin að hópnum
Annað hlið er venjuleg leiðaval. Pakki sem stýrt er á 224.0.0.251 fylgir framsendingartöflunni eins og allt annað, og ef taflan sendir hann út um eftirlitslaust LAN-viðmótið mun engin WireGuard-stilling breyta því. Lagaðu leiðina fyrst og restin af rannsókninni verður styttri. Skoðaðu hvað kjarninn greinir frá fyrir hópnetfangið áður en þú snertir einhverja jafningjalykla.
| Observation | Gate it belongs to | What it does not prove |
|---|---|---|
Multicast flag present on wg0 | Interface eligibility | The daemon will use the interface |
Route to the group via wg0 | Forwarding | Any peer will receive it |
| Destination inside a peer's allowed list | Peer selection | That peer's network will answer |
Án sérstakrar leiðar fellur kjarninn aftur á eigin multicast-meðferð tengingarinnar, sem er ástæðan fyrir því að sjálfgefna virðist rétt á sléttu LAN og röng um leið og sama hópsamgöngin á að fara út um göng. Bilunin er hljóðlát frá hlið sendandans: fyrirspurnin fer eitthvert og svarið kemur aldrei.
Þriðja hlið: WireGuard velur einn jafningja á hvern pakka
WireGuard velur útjafningja með því að fletta upp áfangastaðnum í leyfðu vistföngunum, og Linux-sendingarleiðin framkvæmir þá uppflettingu einu sinni fyrir hvern pakka. Ein niðurstaða er til, og pakkinn er dulkóðaður fyrir þann jafningja. Sami hópforskeytið sem kemur fyrir á leyfðum listum nokkurra jafningja býr ekki til aðild eða endurtekningu; það býr til tvíræða uppflettingu sem leysist á einn þeirra.
Á sérstakri tengingu tveggja enda er þetta einmitt það sem þú vilt, því að það er einn fyrirhugaður viðtakandi fyrir viljandi flutta hópsamgöngu. Á viðmóti með fimm jafningjum er þetta takmörkun, ekki eiginleiki, og lagfæringin á heima í hönnuninni en ekki í stillingu einhvers eins jafningja.
Dreifð hönnun þarf skýran endursendingartæki, aðskildar tengingar eða allt annað uppgötvunarkerfi. Að birta uppskrift tveggja enda sem lausn fyrir marga biðla því að hver biðill getur pingað gáttina er hvernig þetta er sett upp á rangan hátt.
Innkomandi stefna er prófuð öðruvísi: uppruni móttekins pakka verður að falla innan leyfðs lista sannreynda jafningsins. Að bæta multicast-áfangastað þar kemur ekki í stað raunverulegrar upprunaeignar sendandans.
Endurspeglun er mörk, ekki brú
Endurskinsvari Avahi endurskapar mDNS-skilaboð milli viðmótanna sem það velur, á forritalagi. Þetta er uppgötvunarmörk milli neta, ekki Ethernet-brú og ekki almennur multicast-beinir. Tveir endurskinsvarar tengdir sömu netum munu gjarnan búa til lykkju af endurteknum tilkynningum.
Endurspeglun afhendir einnig þjónustuheitum og lýsigögnum þeirra til annars nets, sem er persónuverndarákvörðun jafnt sem leiðaval. Takmarkaðu valin viðmót, og notaðu þjónustusíur þar sem uppsetta útgáfan styður þær, svo aðeins tilkynningar sem valdur notandi þarf fari yfir mörkin.
Uppgötvun og notkun eru áfram aðskildar niðurstöður. Biðill getur séð tilkynningu um þjónustu sem auglýst netfang hennar er óaðgengilegt frá þeim stað sem biðillinn er á, eða sem aðgangsstefna hans hafnar portinu á. Staðfestu þjónustutenginguna eftir að tilkynningin birtist, og ef forritið styður stöðugt DNS-heiti eða skýrt netfang þjóns skaltu frekar velja það en að útvíkka staðbundið uppgötvun tengingarinnar. Lýsingin á dulritunarlyklaleiðavali nær yfir áfangastabaðna jafningjaval sem allt þetta byggir á.