WireGuard heil göng: AllowedIPs 0.0.0.0/0 er ekki nóg

Að setja 0.0.0.0/0, ::/0 í AllowedIPs jafnings er skrefið sem allir muna, og það ræður aðeins hvaða umferð jafningnum er leyft að bera. Þessi formerki búa ekki til neinar leiðir, senda ekkert áfram hinum megin og láta leysir hvers forrits vera nákvæmlega þar sem hann var. Fjórir aðskildir hlutir verða að gilda samtímis til að heil göng séu heil göng, og best er að athuga þá í röðinni hér að neðan, því seinna athugun getur ekki bjargað fyrri. Hver athugun hér að neðan er staðreynd sem lesa má af vél, ekki stilling sem þú vonar að hafi verið beitt.

Hvað formerki jafningsins velur, og hvað ekki

AllowedIPs er bæði valari og heimildari. Það segir staðbundinni hlið hvaða áfangastaði megi senda til þessa jafnings, og segir móttökuhlið hvaða upprunaaðsetur þessi jafningur megi leggja fram. Það er allt verkið. Ekkert í þeirri lýsingu býr til leið á hýsilinn, virkjar framsendingu hinum megin eða snertir nafnaupplausn.

Þess vegna getur stilling litið út fyrir að vera heil og hagað sér eins og klofin göng. Formerkjan segir að jafningurinn myndi samþykkja allt; leiðatöflu hýsilsins ræður því hvað kemur í raun þangað, og gáttin ræður því hvort eitthvað fari út. Engin þessara þriggja ákvörðunar býr í jafningshlutanum.

Leiða biðlarann, ekki bara jafningjalistann

Stjórnendur eins og wg-quick forrita leiðatöflu hýsilsins fyrir þig, og þess vegna haga tveir nákvæmlega eins stillingaskrár sér mismunandi eftir því hvernig viðmótið kom upp. Lágmarkssnið er nógu stutt til að lesa í einu:

[Interface]
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = vpn.example.net:51820

Tveir smáatriðir bera verkið. Reiturinn Address er eitt hýsilformerki í stað undirnets sem biðlarinn telur sig eiga, og það er stjórnandinn sem breytir sjálfgefnu AllowedIPs í raunverulega sjálfgefna leið. Ræstu sömu skrá með ip link og wg setconf og engar leiðir birtast, sem lítur út eins og bilað göng en er í raun heil göng þar sem leiðaskrefinu var sleppt. Handbók wg-quick skjalfestir leiðunina og Table hegðunina sem þessir stjórnendur bæta við.

Lestu niðurstöðuna frekar en skrána: ip route get 1.1.1.1 ætti að nefna viðmót ganganna, og wg show ætti að tilkynna nýlegt handaband með flutningsteljara sem hreyfist. Handaband án leiðar þýðir að stjórnandinn rann aldrei, og að breyta sniðinu aftur lagar það ekki. Ræstu viðmótið eins og notandinn mun ræsa það, annars mælir prófið skelina þína í stað uppsetningarinnar.

Hafa endapunktinn utan ganganna

Heil göng grípa hvern áfangastað, þar á meðal þann sem þau verða að tala við til að vera til. Stjórnendur leysa það með því að bæta hýsilleið fyrir endapunktinn í gegnum upprunalegu gáttina, og þess vegna inniheldur rétt stilling næstum alltaf eina viljandi undantekningu. Að beita helmingi stillingarinnar með stjórnanda og hinum helmingnum handvirkt er venjulega leiðin sem sú undantekning glatast á.

Ef endapunkturinn er hýsilnafn sem leysist í nokkur aðsetur, eða í fjölskyldu sem þú berð ekki, eldist undantekningin illa og göngin geta bilað eftir endurtengingu sem virtist venjuleg. Festu endapunktinn við aðsetur sem þú stjórnar, eða staðfestu að stjórnandinn endurmeti hann, og lestu hýsilleiðina aftur eftir hverja netbreytingu.

Sama fyrirbærið útskýrir hvers vegna heil göng og handtökugátt slást. Gáttin býst við að stöðva umferðina sem göngin þín grípa núna, svo á hótel- og flugvallanetum ræsir þú göngin eftir innskráningu í gáttina, aldrei fyrir.

Framsending og bakleið á gáttinni

Á gáttinni skaltu virkja framsendingu fyrir fjölskylduna sem þú berð, leyfa forward-keðjuna í báðar áttir þegar þú þýðir, og staðfesta bakleiðina með upprunasérstakri uppflettingu. Ekkert af því fylgir góðu handabandi, því handaband sannar aðeins að jafningjarnir tveir geti skipt UDP. Það segir ekkert um hvað verður um afhjúpaða pakkann eftir á.

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding
ip route get 1.1.1.1 from 10.8.0.2

Uppflettingin keyrir á gáttinni en ekki biðlaranum, annars lestu aðra leiðatöflu. Ef hún nefnir ranga viðmótið, eða tilkynnir að engin leið sé, þá mun engin breyting á biðlarahlið framkalla útgang á internetið. Þegar gáttin þýðir aðsetur biðlara á leið út, fer svarið eftir því þýðingarástandi, svo reglan verður að vera til fyrir báðar áttir streymisins en ekki bara þá útleið.

DNS og bilanatstaðan, prófuð aðskilið

Samskiptareglurnar sjálfar stilla ekki leysi neins forrits. wg-quick beitir línunni DNS í gegnum leysi-samþættingu dreifingarinnar, gámum og vöfrum með eigin stafla getur skipt það engu, og þess vegna getur nafn bilað á meðan göngin bera pakka fullkomlega. Prófaðu með hýsilnafni í stað aðseturs, og skrifaðu hjá þér hvaða þjónn svaraði í stað þess að gera ráð fyrir að sá í sniðinu hafi gert það.

Aðsetursfjölskyldur eru aðskilið próf með aðskildu svari. Sjálfgefin leið v4 segir ekkert um hvað v6-tenging forrits mun gera, og göng sem leka annarri fjölskyldunni hljóðlega eru verri en þau sem bila hátt. Spurðu nafns yfir hverja fjölskyldu, lestu viðmótið sem hver beiðni notaði, og athugaðu þýðingarteljara fyrir og eftir, því regla sem passar við ekkert lítur eins út og regla sem vantar.

Að lokum, prófaðu ástandið sem þú vilt þegar göngin stöðvast. Heil göng ættu að bila lokuð fyrir umferðinni sem þau krefjast: ef viðmótið fellur og forrit halda hljóðlega áfram um eðlisfræðilegu tenginguna, er hönnunin klofin göng með aukaskrefum. Skrifaðu fyrirhugaða bilanahegðun, athugaðu hana viljandi, og endaðu á að skrá fjögur svörin — hvaða stjórnandi ræsir viðmótið, hvaða leið ber sjálfgefna, hver sendir áfram og þýðir á gáttinni, og hvaða leysir svarar.