Екі WireGuard peer бір ауқымды бөліседі: пакетті қайсысы алады
Қабаттасқан ауқымдар реттілікпен емес, ең нақты префикспен шешіледі. Бірдеңені кеңейтпес бұрын алдымен маршрутты, содан кейін peer тізімін тексеріңіз.
Екі peer бір-біріне тиетін ауқымдарды тізімдейді және трафик дұрыс емес жерге жетеді. Ештеңе бүлінбеген: WireGuard peer-ді межелі орынды конфигурацияланған ауқымдармен салыстыру арқылы таңдайды және ең нақты сәйкестік жеңеді. Бірдеңені кеңейтпес бұрын қай peer қай префикске ие болуы керегін шешіңіз.
WireGuard ішінде ең ұзын префикс жеңеді
Әр peer жазбасы межелі префикстер жиынтығын алып жүреді. Пакет интерфейске маршрутталғанда, іске асыру ең нақты сәйкес келетін префиксі бар жазбаны іздейді — маршруттау кестесі қолданатын дәл сол ереже. Сондықтан /24 оны қамтитын /16-ны жеңеді және тар peer трафикті қабылдайды.
Road-warrior конфигурациялары мұны әдейі пайдаланады. Бір peer сайт үшін кең ауқымға ие, ал жекелеген хосттар басқа peer-лерге тиесілі /32 жазбаларымен бөлінеді. Үлгі сәйкестіктер нақтырақ болғандықтан жұмыс істейді, реттілікке байланысты емес.
Иелікті префикс пен peer кестесі ретінде жазып қойыңыз. Екі жазба бір префиксті сипаттаса, конфигурация енді ниетті емес, жарысты білдіреді.
Операциялық жүйе алдымен интерфейсті таңдайды
WireGuard тек бір интерфейстегі peer-лер арасынан таңдайды. Пакетті қай интерфейс алатыны бұрынырақ, хосттың маршруттау кестесімен шешіледі, және екінші әдепкі маршрут немесе ескірген маршрут трафикті peer тізімі ешқашан көрмейтін жерге жібере алады. Сондықтан peer деңгейіндегі диагностика дұрыс болуы мүмкін және бәрібір ақауды түсіндірмейді. peer конфигурациясын оқымас бұрын межелі орынға маршрутты тексеріңіз, өйткені физикалық интерфейске сілтейтін маршрут бүкіл мәселені айналып өтеді.
Құрал әдетте бұл маршруттарды peer ауқымдарынан орнатады, яғни бір peer тізіміндегі өзгеріс бұрын басқаға тиесілі болған трафикті үнсіз қайта бағыттай алады. Сондықтан peer-ді өңдеу — жасырын маршруттау өзгерісі. Екеуін бірге қарап шығыңыз, әйтпесе біреуін түзетіп, екіншісін бұзасыз.
Кіріс пакеттер дереккөз бойынша тексеріледі
Ауқымдар тізімі қос рөл атқарады. Шығыс трафик үшін ол межелі орын бойынша peer таңдайды, ал кіріс трафик үшін дереккөз мекенжайына рұқсат береді. Осы peer ауқымдарынан тыс мекенжайдан келген пакет қандай да бір файрвол оны көрмей тұрып тасталады.
Бұл асимметрияны конфигурацияның бір жағын оқығанда байқамау оңай. Қосымша желіге жететін peer бұған қарамастан сол қосымша желіден жіберуге рұқсатты емес, және екі бағыт та әртүрлі тексерулермен қамтамасыз етіледі.
Дереккөздің тар иелігі мұны артықшылыққа айналдырады. Әр peer-ге өз мекенжайы үшін /32 беріңіз, сонда төмендегі файрвол салыстыруға сенімді дереккөзге ие болады, кез келген мүше талап ете алатын топтық ауқымның орнына.
Қайталанатын ауқымдар failover емес
Бір префиксті екі peer-ге тағайындау жүктеме теңгерушісін немесе қосалқы жолды жасамайды. Денсаулық тексерісі де, сеанс тіркесуі де жоқ: жеңетін жазбаны іске асырудың ішкі реті анықтайды, бұл жобалауға тиісті шарт емес. Балама шығыстар қажет болса, оларды таңдау анықталған жерде білдіріңіз. Маршруттау саясаты, метрика немесе әрқайсысының құжатталған иесі бар екі түрлі префикс — бұлардың әрқайсысы болжай және тексере алатын мінез-құлық туғызады.
Байланыссыз ақауды түзету үшін ауқымды кеңейту — екінші жиі кездесетін қате. Ол трафикті жұмыс істеп тұрған peer-ден алыстатады және ескісі түсінілмей тұрып жаңа белгі пайда болады.
Өңдеуден бұрын таңдауды тексеріңіз
Үш пәрмен үш сұраққа ретімен жауап береді. Біріншісі әр peer талап ететін ауқымдарды тізімдейді. Екіншісі хосттың межелі орын үшін қай интерфейсті пайдаланатынын көрсетеді. Үшіншісі трафик өткеннен кейінгі peer-лердің тікелей күйін көрсетеді.
wg show wg0 allowed-ips ip route get 10.66.8.20 wg show wg0 ip rule show
Оларды өзгеріске дейін және кейін іске қосып, салыстырыңыз. Егер маршрут шығысы өзгерсе, бірақ трафик әлі де дұрыс емес peer-ге жетсе, префикс тізімдері әлі жазылмаған түрде қабаттасады. Егер маршрут шығысы өзгермесе, peer конфигурациясы ешқашан сұралған нәрсе болмаған.
Билетте межелі орынды, таңдалған интерфейсті және таңдалған peer-ді жазыңыз. Дәл осы үштік қабаттасуды кейін қарауға болатын етеді және ол конфигурацияның экран суретінен әлдеқайда пайдалы.