Tveir WireGuard-peerar deila sviði: hver fær pakkann

Tveir peerar lista svið sem snertast, og umferðin nær til ranga. Ekkert er skemmt: WireGuard velur peer með því að para áfangastað við stilltu sviðin, og nákvæmasta samsvörunin vinnur. Áður en þú víkkar eitthvað skaltu ákveða hvaða peer á að eiga hvaða forskeyti.

Lengsta forskeytið vinnur inni í WireGuard

Hver peer-færsla ber mengi áfangaforskeyta. Þegar pakka er beint inn í viðmótið leitar útfærslan að færslunni með nákvæmasta samsvarandi forskeytinu — sama reglu og beiningartafla beitir. Því vinnur /24 yfir /16 sem inniheldur það, og mjórri peerinn fær umferðina.

Road-warrior uppsetningar nota þetta viljandi. Einn peer á breitt svið fyrir stað, og einstakir hýslar eru skornir út með /32-færslum sem tilheyra öðrum peerum. Mynstrið virkar vegna þess að útskurðurinn er nákvæmari, ekki vegna röðunar.

Skrifaðu eignarhaldið sem töflu yfir forskeyti og peer. Ef tvær færslur lýsa sama forskeytinu tjáir stillingin ekki lengur ætlun, hún tjáir kapphlaup.

Stýrikerfið velur viðmótið fyrst

WireGuard velur aðeins á meðal peeranna á einu viðmóti. Hvaða viðmót fær pakkann er ákveðið fyrr, af beiningartöflu hýsilsins, og önnur sjálfgefin leið eða gömul leið getur sent umferðina þangað sem peer-listinn sér hana aldrei. Þess vegna getur greining á peer-stigi verið rétt og samt ekki skýrt bilunina. Athugaðu leiðina að áfangastaðnum áður en þú lest peer-stillinguna, vegna þess að leið sem bendir á líkamlega viðmótið sneiðir fram hjá allri spurningunni.

Verkfærið setur venjulega þessar leiðir upp úr peer-sviðunum, sem þýðir að breyting á lista eins peers getur hljóðlega vísað umferð sem áður tilheyrði öðrum annað. Breyting á peer er því beiningabreyting í dulargervi. Farðu yfir bæði í einu, annars lagar þú annað og brýtur hitt.

Innkomandi pakkar eru athugaðir eftir uppruna

Sviðlistinn gegnir tvöföldu hlutverki. Fyrir útleið velur hann peer eftir áfangastað, og fyrir innleið heimilar hann upprunafang. Pakka sem kemur frá fangi utan sviða þess peers er hent áður en nokkur eldveggur sér hann.

Þetta ósamhverfu er auðvelt að missa af þegar lesin er önnur hlið stillingarinnar. Peer sem getur náð undirneti hefur ekki þar með leyfi til að senda frá því undirneti, og báðar áttir eru knúnar með mismunandi athugunum.

Þröngt upprunaeignarhald gerir þetta að kosti. Gefðu hverjum peer /32 fyrir sitt eigið fang og eldveggurinn neðar hefur áreiðanlegan uppruna til að para, í stað sviðs fyrir allan hópinn sem hver sem er meðlimur gæti gert tilkall til.

Tvöföld svið eru ekki failover

Að úthluta sama forskeyti til tveggja peera býr ekki til álagsdreifingu né varaleið. Það er engin heilsuathugun og engin lotutenging: færslan sem vinnur er ákveðin af innri röð útfærslunnar, sem er ekki samningur sem ætti að hanna eftir. Ef þú þarft aðra útganga skaltu tjá þá þar sem valið er skilgreint. Beiningastefna, mælikvarði eða par af aðskildum forskeytum með skjalfestum eiganda hvoru fyrir sig framleiða hegðun sem þú getur spáð fyrir og prófað.

Að víkka svið til að laga ótengda bilun er hin algenga mistök. Það færir umferð frá peernum sem virkaði, og nýja einkennið kemur áður en það gamla er skilið.

Sannreyndu valið áður en þú breytir

Þrjár skipanir svara þremur spurningum í röð. Sú fyrsta listar sviðin sem hver peer krefst. Sú önnur sýnir hvaða viðmót hýsillinn myndi nota fyrir áfangastað. Sú þriðja sýnir lifandi stöðu peeranna eftir að umferð hefur streymt.

wg show wg0 allowed-ips
ip route get 10.66.8.20
wg show wg0
ip rule show

Keyrðu þær fyrir og eftir breytingu og berðu saman. Ef leiðarúttakið breyttist en umferðin kemur enn til ranga peersins, skarast forskeytalistarnir á þann hátt sem þú hefur ekki skrifað niður enn. Ef leiðarúttakið breyttist ekki var peer-stillingin aldrei það sem var spurt.

Skráðu áfangastaðinn, valda viðmótið og valda peerinn í miðann. Þessi þrenning er það sem gerir skörun endurskoðanlega síðar, og hún er miklu gagnlegri en skjáskot af stillingunni.