WireGuard конфигін Interface-тен Peer-ке дейін жол-жолымен оқыңыз

Бұзылған WireGuard конфигтерінің көбі мәнде қателеспейді; олар дұрыс мәнді дұрыс емес жаққа қояды. Жеке кілт осы машинаға тиесілі, peer басқа машинаның ашық кілтін алып жүреді, ал мекенжай туннель қайда тұратынын сипаттаса да interface блогында отырады. Файлды екі кездесетін бағыт ретінде оқып, содан кейін көмекші скрипттің үстінен не қосқанын тексеріңіз. Протоколдың өзінде файлдан аз өріс бар, ал қосымша өрістерді бөлек білген жөн.

Interface кілттері осы машинаны сипаттайды

interface блогы осы шеттің өз сәйкестігін ұстайды. PrivateKey сол сәйкестік және ешқашан хосттан шықпайды; одан сәйкес ашық кілт шығарылады және басқа peers дәл соны тізеді. ListenPort осы жақ қол алысуларды қабылдайтын орын, сондықтан бір мекенжайдың артындағы екі клиентке түрлі порт қажет.

Address осы хост жауап беретін туннель мекенжайы, префикс ұзындығымен жазылған, өйткені ол пайдаланатын көз де сол. Мұнда префиксті қателесу хосттың қай межелерді тікелей қосылған деп санайтынын өзгертеді және бұл конфиг емес, маршруттау сияқты көрінетін ақаулар туғызады.

Нақты клиенті бар [Interface] блоктағы қалғанның бәрін әдетте wg-quick қосады: DNS, MTU, Table, және ілмек жолдары. Бұлар протокол өрістері емес және жалаң wg конфигурациясы оларды мүлдем елемейді.

Әр peer жазбасы бір басқа жақты сипаттайды

[Peer] блогы алыс жақ. PublicKey сол жақтың туынды кілті, ешқашан оның жеке кілті емес, және PresharedKey екі жақ бірдей ұстауға тиіс қосымша құпия. Endpoint қайда жіберу екенін білдіреді, және PersistentKeepalive бұл хосттан басқа ештеңе шықпаған кезде аралықтан кейін пакет жіберуді сұрайды.

Мұндағы шатасудың көбін екі қате түсіндіреді. Өз жеке кілтіңізді peer блогына көшіру екі ұшты бір сәйкестікке ортақ етеді және қол алысу жаман жазылатын түрде сәтсіз аяқталады. Endpoint клиентте қалдырып кету әдетте әдейі, өйткені сервер мекенжайды кіріс қол алысудан үйренеді; бастауға тиіс серверде оны қалдырып кету олай емес. Сондай-ақ keepalive NAT картасын ашық ұстайтынын есте сақтаңыз, ол өткізу қабілетін жақсартпайды және кідірісті азайтпайды, сондықтан трафик қазірдің өзінде ағып жатса, отыз секундтық қосымша пакет ештеңе сатып алмайды.

AllowedIPs — маршруттау, рұқсат тізімі емес

AllowedIPs WireGuard-тың криптокілттік маршруттауы. Сыртқа, ол тағайындалуына қарай қай peer пакет алатынын шешеді. Ішке, ол сол peer-ден келетін пакеттің көзіне қарай қабылданатынын шешеді. Бір өріс екі жұмысты да атқарады, сондықтан бұл қатынасты бақылау тізімі де емес, рұқсат етілген сайттар тізімі де емес.

Тар AllowedIPs серверде клиент үшін сервер тек сол көздерді мәлімдейтін пакеттерді қабылдайды және тек сол тағайындалуларды сол клиентке жібереді. Бір жақты екіншісін кеңейтпей кеңейтсеңіз, көтерілетін және ештеңе өткізбейтін туннель аласыз.

wg-quick протокол айналасына не қосады

wg-quick сол файлды оқиды және протокол операциялық жүйеге қалдыратын желілік қадамдарды орындайды. Ол interface мекенжайын тағайындайды, AllowedIPs-ден туындаған маршруттарды қосады, шешуші параметрлерін жазады және ілмек пәрмендерін ретімен орындайды.

Сол қабат классикалық асимметрияны түсіндіреді. 0.0.0.0/0 және DNS жолы бар файл клиентке әдепкі маршрут пен шешуші береді және сервердің жіберу немесе NAT ережелеріне мүлдем ештеңе істемейді. Олар сервердің өз конфигіне жатады және ешбір клиент файлы оларды бере алмайды.

Файлға бір ие болсын. SaveConfig қосулы кезде оны қолмен өңдеу келесі жолы interface төмендегенде өңдеуіңіз жоғалады дегенді білдіреді, және interface бұның болғанын айтпайды.

Файлды емес, қолданылған күйді тексеріңіз

Файл — ниет. Қолданылған күй — ядро ұстайтын нәрсе, және белсендіруден кейін көмекші, drop-in немесе ілмек бірдеңені өңдесе, олар ажырайды.

Тірі күй мен мекенжайлауды бірге оқып, содан кейін екеуін де жазғаныңызбен салыстырыңыз:

sudo wg show
ip -4 addr show dev wg0
ip -4 route show dev wg0
grep -v "^#" /etc/wireguard/wg0.conf

Егер peer тізімі бос болса, interface конфигі қолданылмай жасалған. Мекенжайлар мен маршруттар бар болса, бірақ санауыштар нөлде тұрса, файл жүктелді және қол алысу сәтсіз, бұл бөлім ретінің емес, кілт немесе соңғы нүкте мәселесі. Өңдеу алдында екі көріністі салыстырыңыз, өйткені олардың арасындағы алшақтық әдетте нақты ақау.