Lestu WireGuard-stillingu línu fyrir línu, frá Interface til Peer

Flestar bilaðar WireGuard-stillingar gera ekki mistök í gildi; þær setja rétta gildið á ranga hlið. Einkalykill tilheyrir þessari vél, peer ber opinberan lykil hinnar vélarinnar, og vistfang situr í interface-blokkinni þótt það lýsi því hvar göngin búa. Lestu skrána sem tvær áttir sem mætast og athugaðu síðan hvað hjálparskriftan bætti ofan á. Samskiptareglurnar sjálfar hafa færri svið en skráin, og þau aukalegu er vert að þekkja sérstaklega.

Interface-lyklar lýsa þessari vél

Interface-blokkin geymir eigin auðkenni þessa enda. PrivateKey er það auðkenni og yfirgefur aldrei hýsilinn; samsvarandi opinberi lykillinn er leiddur af því og það er það sem aðrir peers lista. ListenPort er þar sem þessi hlið tekur við handaböndum, svo tveir biðlarar bak við eitt vistfang þurfa mismunandi gáttir.

Address er vistfang ganganna sem þessi hýsill svarar á, skrifað með forskeytislengd því það er líka uppsprettan sem hann mun nota. Rangt forskeyti hér breytir því hvaða áfangastaði hýsillinn telur beintengda, og það framleiðir bilanir sem líta út eins og beiningar en ekki stillingar.

Allt annað í [Interface] blokk með raunverulegum biðlara er venjulega bætt við af wg-quick: DNS, MTU, Table, og krók-línunum. Þau eru ekki samskiptasvið, og ber wg uppsetning hunsar þau algjörlega.

Hver peer-færsla lýsir einni annarri hlið

[Peer] blokk er fjarlægi aðilinn. PublicKey er afleiddur lykill þess aðila, aldrei einkalykill þeirra, og PresharedKey er valfrjáls viðbótarleyndarmál sem báðar hliðar verða að halda eins. Endpoint er hvert á að senda, og PersistentKeepalive biður þennan hýsil að senda pakka eftir bilið þegar ekkert annað fer út.

Tvö mistök útskýra mestu ruglið hér. Að afrita eigin einkalykil í peer-blokk lætur endana tvo deila einu auðkenni, og handabandið mistekst á þann hátt að illa er skráð. Endpoint að sleppa á biðlara er venjulega viljandi, því þjónninn lærir vistfangið af innkomandi handabandi; að sleppa því á þjóni sem verður að hefja er það ekki. Mundu líka að keepalive heldur NAT-kortlagningu opinni, og það bætir ekki afköst og dregur ekki úr seinkun, svo þrjátíu sekúndur af aukapökkum kaupa ekkert þegar umferð er þegar í gangi.

AllowedIPs eru beiningar, ekki leyfislisti

AllowedIPs eru dulritunarlyklabeiningar WireGuard. Út á við ákveður það hvaða peer fær pakka út frá áfangastað hans. Inn á við ákveður það hvort pakki sem kemur frá þeim peer sé samþykktur út frá uppsprettu hans. Sama sviðið sinnir báðum verkum, þess vegna er það ekki aðgangsstýrilisti og ekki listi yfir leyfðar vefsíður.

Þröngt AllowedIPs á þjóninum fyrir biðlara þýðir að þjónninn tekur aðeins við pökkum sem segjast koma frá þessum uppsprettum og sendir aðeins þessa áfangastaði til þess biðlara. Víkkaðu aðra hlið án þess að víkka hina, og þú færð göng sem koma upp og hleypa engu í gegn.

Hvað wg-quick bætir við kringum samskiptareglurnar

wg-quick les sömu skrá og framkvæmir netskrefin sem samskiptareglurnar láta stýrikerfinu eftir. Það úthlutar interface-vistfanginu, bætir við leiðum sem eru leiddar af AllowedIPs, skrifar stillingar uppflettingarþjónsins og keyrir krókk-skipanirnar í röð.

Sú tilhögun útskýrir klassíska ósamhverfuna. Skrá með 0.0.0.0/0 og DNS línu gefur biðlara sjálfgefna leið og uppflettingarþjón, og hún gerir ekkert sem kemur að framsendingar- eða NAT-reglum þjónsins. Þær tilheyra eigin stillingu þjónsins og engin biðlaraskrá getur veitt þær.

Hafðu einn eiganda að skránni. Að breyta henni í höndunum meðan SaveConfig er virkt þýðir að breytingin þín hverfur næst þegar interface-ið fer niður, og interface-ið mun ekki segja þér að það hafi gerst.

Athugaðu notað ástand, ekki skrána

Skráin er áform. Notað ástand er það sem kjarninn heldur, og þau verða sundur hvenær sem hjálpartól, drop-in eða krókur breytti einhverju eftir virkjun.

Lestu lifandi ástand og vistfangsun með sér, og berðu síðan bæði saman við það sem þú skrifaðir:

sudo wg show
ip -4 addr show dev wg0
ip -4 route show dev wg0
grep -v "^#" /etc/wireguard/wg0.conf

Ef peer-listinn er tómur var interface-ið búið til án þess að stilling þess væri notuð. Ef vistföng og leiðir eru til en teljararnir sitja á núlli, þá hlaðist skráin og handabandið mistekst, sem er vandamál með lykil eða enda en ekki röð kafla. Berðu saman tvær sýn áður en þú breytir, því bilið þar á milli er venjulega raunverulega villan.