WireGuard hýsilforskeyti: af hverju eitt vistfang virkar en hin ekki

Göngin eru uppi, handshake á sér stað á tveggja mínútna fresti og nákvæmlega eitt vistfang hinum megin svarar. Ping á gönguvistfang jafningjans virka; ekkert fyrir aftan það virkar. Einhver les stillingar viðmótsins, sér hýsilforskeyti og ályktar að gríman sé röng. Að víkka hana út í /24 lagaði pingið um stund og eyðileggur síðan eitthvað annað. Forskeytið var aldrei orsökin og leiðin sem vantaði er ekki sú sem gríman stýrir.

Hvað viðmótsforskeytið býr í raun til

Á Linux býr það að úthluta vistfangi á viðmót til tengdrar leiðar fyrir það forske yti. Ef þú úthlutar hýsilforskeyti nær tengda leiðin yfir eitt vistfang. Ef þú úthlutar /24 nær hún yfir 256 og hvert þeirra er nú talið aðgengilegt um þá tengingu.

ip -4 addr show dev wg0
ip -4 route show dev wg0
ip route get 10.80.7.1

Hýsilforskeyti er algjörlega eðlilegt val fyrir punkt-í-punkt göng, því það er nákvæmlega einn jafningi hinum megin. Þriðja skipunin er sú sem svarar spurningu notandans: hún segir hvaða viðmót kjarninn myndi nota fyrir þann áfangastað og sýnir ekkert gagnlegt ef engin leið passar.

Þetta er öll skýringin á einkennunum. Eitt vistfang svarar því að tengd leið er til fyrir það, eða því að leyfði listi jafningsins inniheldur það fyrir tilviljun. Allt annað hefur enga leið og er hent áður en WireGuard kemur nokkurn tíma við sögu. Göngin eru heilbrigð allan tímann, þess vegna heldur handshake-teljarinn áfram að líta hughreystandi út.

AllowedIPs eru tvær reglur undir einu nafni

Leyfði listi WireGuard fyrir hvern jafningja sinnir tveimur verkum í einu og stillingamálfræðin lætur þau líta út sem eitt. Á innleið leyfir hann hvaða uppsprettuvistföng jafningi má leggja fram. Á útleið velur hann hvaða jafningja pakki er sendur til með því að finna nákvæmustu samsvörunina.

Hvort tveggja verkanna er ekki beining. Kjarninn verður samt að ákveða að pakki tilheyri gönguviðmótinu áður en WireGuard lítur á hann, og sú ákvörðun kemur úr beiningartöflunni. Jafningjafærsla með breiðum leyfðum lista setur ekki upp leið af sjálfu sér.

Þess vegna getur stilling litið út fyrir að vera fullkomin og hagað sér ósamhverft. Biðlarinn sendir til hinnar hliðarinnar því að leið er til, og svör koma aldrei því að leyfði listi hinnar hliðarinnar leyfir ekki uppsprettu biðlarans, eða því að hin hliðin hefur enga afturleið. Báðar áttir eru aðskildar ákvarðanir með aðskildum bilunarháttum. Að skrifa niður hvor þeirra er verið að prófa er helmingur greiningarinnar.

Hvaðan leiðin kemur

Ef þú notar wg-quick eru leiðirnar búnar til fyrir þig úr leyfða lista hvers jafningja, nema þú hafir stillt Table = off og tekið stjórnina sjálfur. Þetta er skjalfest hegðun tólsins og ástæðan fyrir því að stilling án skýrra leiðarfyrirmæla virkar samt.

sudo wg show wg0 allowed-ips
ip route show | grep wg0
sudo wg-quick strip wg0

Berðu leyfða listann saman við leiðirnar sem eru í raun til staðar. Jafningi sem leyfir heilt undirnet en bjó aðeins til hýsilleið þýðir að hjálparinn rann aldrei, eða að þú stýrir viðmótinu beint með wg og ip, og þá býr ekkert til leiðir fyrir þig.

Þegar þú stýrir því handvirkt er leiðin ein lína og lögun hennar skýr: áfangastaðurinn í gegnum viðmótið, án gáttar því að tengingin er punkt-í-punkt. Að bæta henni við er ekki krókaleið fyrir slæmt forske yti; það er hinn helmingurinn sem vantaði í hönnun sem ákvað að taka beininguna í eigin hendur.

Breiðara forske yti bætir ekki jafningjafærslunni við

Freistandi lagfæringin er að breyta vistfanginu í /24 svo að tengda leiðin nái yfir staðarnet þjónsins. Það virðist virka, og ástæðan fyrir að það virðist virka er að tengda leiðin passar núna, ekki að WireGuard hafi lært eitthvað nýtt.

Það sem þú gerðir líka er að krefjast alls sviðsins sem beint aðgengilegs um þá tengingu, þar á meðal vistfanga sem tilheyra öðrum jafningjum eða staðarneti sem er í raun á bak við þjóninn. Umferð til þessara vistfanga fer nú inn í göngin, og hvort hún kemur út hinum megin fer eftir beiningu og leyfðum listum þjónsins sjálfs.

Dulritunarperspektífin verður ekki fyrir áhrifum í neinu tilviki. WireGuard þarf enn færslu á leyfða listanum sem nær yfir áfangastaðinn til að velja jafningja, og hin hliðin þarf enn færslu sem nær yfir uppsprettuna þína til að samþykkja hana. Breiðara viðmótsforskeyti getur ekki veitt hvort tveggja.

Staðfestu báðar áttirnar áður en þú breytir einhverju

Vinndu úr báðum endum hvorum fyrir sig og skrifaðu niður hvað hvor segir. Á biðlaranum leiðin og jafningjafærslan; á þjóninum spegilmyndin auk eigin afturleiðar:

ip route get 192.168.70.20
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo tcpdump -ni wg0 -c 10

Upptakan er það sem leysir deilur um áttina. Ef útleiðarpakkar birtast á gönguviðmótinu og þjónninn skráir ekkert frá sér, hafnar fjarlægi endinn þeim, venjulega því að uppsprettan þín er utan leyfða listans hans. Ef ekkert birtist yfirhöfuð vantar leiðina eða hún vísar annað.

Lagaðu svo þröngari endann. Færsla á leyfða listanum á þjónshlið fyrir vistfang biðlarans þíns og færsla á biðlarahlið fyrir áfangastaðarundirnetið er venjulega formið, og það lætur viðmótsforskeytið í friði. Víkkaðu forske ytið aðeins ef vistfangaskráin vill sannarlega sameiginlegt undirnet á þeirri tengingu, og gerðu það sem áætlunarbreytingu en ekki sem villuleitarþrep.