WireGuard: tvær hálfleiðir gegn 0.0.0.0/0 í wg-quick

Tvö /1 forskeyti ná yfir nákvæmlega sömu IPv4-vistföng og eitt /0, og sú jafna gildir aðeins innan listans yfir leyfð forskeyti jafningjans. Hún hættir að gilda um leið og uppsetningartólið ákveður hvernig á að beina, því Linux wg-quick meðhöndlar sjálfgefið forskeyti sem sérstakt tilvik en ekki sem reikning. Sérstaka greinin setur upp sérstaka töflu, tvær stefnureglur, socket-merking og stillingar fyrir öfuga slóð sem par hálfleiða fær aldrei. Þegar umboðsþjónn eða vafri hættir því að virka eftir breytinguna eru forskeytin minnst áhugaverði hlutinn af breytingunni.

Skoðunarlistinn er ekki öll uppsetningin

AllowedIPs sinnir tveimur verkum í einu, og aðeins annað snýr að þekjunni. Fyrir WireGuard sjálft er listinn dulritunarlyklabeining: hann ákveður hvaða áfangastaðir eru dulritaðir til jafnings og hvaða upprunavistföng sá jafningi má nota. Fyrir wg-quick gegnir sami listi einnig hlutverki leiðarforskriftar, og leiðin sem hann framleiðir fer eftir því hvaða grein listinn fellur tilviljunarkennt að. Eins þekja á tveimur mismunandi listagerðum segir ekkert um eins ástand hýsisins.

Sjálfgefna uppsetningin tekur þá ákvörðun úr þínum höndum, því Table er sjálfgefið sjálfvirkt og tólið velur hvar leiðirnar lenda. Annar netstjóri, dreifingarumbúðir eða sérsniðið Table gildi breytir niðurstöðunni aftur, og þess vegna getur ráð skrifað fyrir eitt hýsi virst rangt á því næsta.

Hvað sjálfgefna greinin bætir við umfram leið

Færsla /0 sendir wg-quick inn á sjálfgefna leið sína: sérstök leiðatöfla tekur við sjálfgefnu leiðinni, ein stefnuregla sendir ómerktan umferð þangað, önnur regla heldur sérhæfðari leiðum aðaltöflunnar sem ráðandi, og viðmótið fær eldveggsmerkingu á eigin socket. Sú merking er vörður lykkjunnar. Dulrituðu gagnagrönnin sem bera umferð göngunnar fara út með merkingu sett, svo reglan sem stýrir öllu öðru inn í gönguna gleypi ekki eigin flutningspakka göngunnar.

Par færslna /1 fer þess í stað venjulegu leiðarslóðina. Tvær leiðir lenda í uppsettu töflunni og ekkert af umhverfisvélbúnaðinum birtist, ekki af því að hann sé óþarfur heldur af því að sú kóðaleið var aldrei farin.

Hvar hinir tveir fyrirkomulagar greinast

Frávikið kemur fyrst fram sem endurkoma. Þegar hálfleiðirnar eru í aðaltöflunni fellur eigið flutningsvistfang jafningsins innan forskeytis göngunnar, svo pakkinn sem ætti að bera gönguna passar við leið sem bendir inn í gönguna. Eitthvað verður að undanþiggja hann: hýsileið fyrir núverandi endapunkt, merking sem sett er handvirkt eða regla sem er sérstök fyrir viðmótið. Hýsileið virkar þar til vistfang endapunktsins breytist, sem gerist með endapunktum byggðum á DNS, reikisviðskiptavinum og uppsetningum með mörgum jafningjum.

Í öðru lagi breytir allt sem rökleiðir um merkingar hegðun sinni. Gagnsær umboðsþjónn sem beinir tengingum á staðnum býr til nýja socketa þar sem merkingar og upprunar eru frábrugðin upprunalegu biðlaraflæðinu, og stefnureglurnar sem sjálfgefna greinin framleiðir voru hluti af því sem raðaði þeim flæðum. Að lesa eigin útleið umboðsþjónsins er önnur æfing en að prófa hvort upprunalegi áfangastaðurinn sé aðgengilegur.

Lesið reglurnar og merkingarnar áður en þið breytið

Skráið núverandi ástand meðan göngin er heilbrigð, síðan aftur eftir breytinguna, og berið saman tvo útskriftir í stað þess að rökleiða frá uppsetningarskránni. Látið fylgja stefnureglurnar, hverja töflu, merkingu viðmótsins og skráða endapunkta.

ip rule show
ip -4 route show table all | grep -E 'default|wg1'
wg show wg1 fwmark
wg show wg1 endpoints

Ef fyrsta úttakslinan hefur misst regluna um ómerktan umferð og sérstaka taflan er tóm er sjálfgefna greinin ekki í gangi og engin forskeytisreikningur mun endurheimta áhrif hennar. Merking núll á viðmóti sem bar áður eina er sama merkið, sýnilegt í einu gildi.

Æfið tap göngunnar áður en þið sendið frá ykkur

Ef hálfleiðafyrirkomulagið er meðvituð ákvörðun verður það að útvega vantar hlutina berum orðum: endapunktslóð sem stenst vistfangsbreytingar, ætluð hegðun þegar göngin falla og samsvarandi meðferð fyrir IPv6. Skrifið þetta sem kröfur í stað þess að uppgötva það í niðurfellingu. Æfið síðan bilunina, því full göng sem fellur hljóðlega aftur á líkamlegu hleðsluna er verri en sú sem hættir að virka.

sudo ip -4 route add 198.51.100.20/32 via 192.0.2.1 dev eth0
ip -4 route get 198.51.100.20
sudo wg-quick down wg1

Leiðarleitin ætti að leysa endapunktinn út úr líkamlega viðmótinu án þess að fara í gegnum gönguna, og að lækka viðmótið ætti að skilja hýsið eftir í því ástandi sem hönnunin lofaði. Umboðsþjónn sem virkar eftir skiptin sannar að skapaða hýsisástandið skipti máli; hann sannar ekki að lykkjuvörnin og hegðun í niðursettri stöðu hafi lifað breytinguna af.