AllowedIPs — маршруттау тізімі, брандмауэр ережесі емес

Ол шығыс трафигіне серіктес таңдайды және кіріс көздерін тексереді. Бұл рұқсат тізімі емес, ал маршруттарды басқаруды өшіру бөлінген туннельді түзетпейді.

Көпшілік AllowedIPs өрісін рұқсаттар тізімі ретінде оқиды, яғни серіктеске қосыла алатын мекенжайлар жиынтығы, туннель үшін жазылған брандмауэр ережесіне ұқсас. Олай емес. Бұл өріс екі бағытта да жұмыс істейтін маршруттау кестесі: шығыс пакетіне серіктес таңдайды және кіріс пакетінің көзін тексереді. Оны рұқсат тізімі ретінде оқу ешкім сұрамаған трафикті маршруттайтын конфигурацияларды тудырады.

Бір өріс, екі оқырман: шығыс таңдауы және көзді тексеру

Клиентте префикстер қай мақсаттар сол серіктеске баратынын және қайсысы әдеттегі желіде қалатынын шешеді. Сондықтан 0.0.0.0/0 үшін жазба барлық IPv4 мақсатын қамтиды, сондықтан толық туннель профилін импорттау әдеттегі шолуды қашықтағы машина арқылы жібереді. Тар жазбалар керісінше жасайды: тек сіз тізімдеген желілерді маршруттайды, қалғанын орнында қалдырады. WireGuard құжаттамасының криптокілттік маршруттау бөлімі екі жұмысты бір жерде атайды: шығыс серіктесін таңдау және кіріс көзін тексеру.

Серверде сол өріс әр серіктестің қандай көз мекенжайларын қолдана алатынын сипаттайды. Бұл пакет сүзгісі емес, криптографиялық тексеру: ішкі көзі серіктестің тізіміне сәйкес келмейтін пакет хосттың қандай да бір брандмауэры оны көрмес бұрын WireGuard ішінде тасталады. Екі жұмыс бір тізімді бөліседі, сондықтан басқа жерден көшірілген тізім сіз қарастырмаған жерде қате әрекет етеді.

Клиент блогы — бұл шатасудың көбісі басталатын жер. Бөлінген туннель қашықтағы желілерді атайды, ал толық туннель — сол өрістің әдепкі префикспен нұсқасы:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Екі нысан да өз алдына толық, және олар қадамдар емес, баламалар. Біріншісі туннель арқылы тек сол екі желіні жібереді; екіншісі барлық мақсатты жібереді, ал ::/0 жазбасы IPv4 әдепкісіне IPv6 қосады. Қайсысын таңдасаңыз да, wg-quick маршруттарды орната бастағанда, сол префикстер сол серіктес үшін барлық маршруттау шешімі болып табылады.

Хабқа басқа тізім керек

Хаб әр клиенттің туннель мекенжайын хост префиксі ретінде, сондай-ақ сол клиенттің артында шынымен тұрған кез келген желіні тізімдейді. Клиенттің кең тізімін хабтың әр серіктесіне көшіру хабқа көптеген серіктестер бірдей мекенжайларды көз ретінде пайдалана алады деп айтады, ал бұл мекенжай жоспары емес. Endpoint өрісі мүлде басқа қабатқа жатады: ол серіктестің сыртқы мекенжайы мен портын атайды, ешқашан туннель ішіндегі мақсатты емес.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Хост префиксі туннель мекенжайын алып жүреді, ал желі префиксі клиенттің артындағыны алып жүреді, және екеуі де қажет. Хост префиксінсіз хаб клиенттің өз трафигін қайтара алмайды, желі префиксінсіз оның артындағы LAN қолжетімсіз болып қалады; артында ештеңе жоқ серіктес тек хост префиксін алады.

Маршруттарды орнатуды өткізіп жіберу олқылық қалдырады

wg-quick, интерфейсті конфигурация файлынан көтеретін көмекші, сол жұмыстың бөлігі ретінде интерфейс мекенжайлары мен маршруттарды орнатады. Table = off орнату көмекшіге маршрут жұмысын өткізіп жіберуді айтады, бұл алмастырғыштарды орнатпайды және жеке желіні қолжетімді етпейді. Автоматты маршруттар жұмысты атқарып жатса, қажет префикстерді атау анағұрлым айқын конфигурация. Маршруттарды басқаруды өшіріп, алмастырғышты жазбай қалдыру — дизайн емес, қателік.

Негізгі wg құралы басқаша әрекет етеді: ол интерфейсті конфигурациялайды және маршруттарға ешқашан тимейді, сондықтан оның үстіне тікелей құрылған қондырғы өз маршрут командаларын қажет етеді. Бір құрал үшін жазылған нұсқаулықтар екіншісімен орындағанда қате көрінуі мүмкін. Сәтті ping де әлсіз дәлел, өйткені ол қажет барлық қолданба жолын емес, бір жолды тексереді.

DNS пен IPv6 бөлек шешіледі

Туннель жариялайтын DNS серверінің мекенжайын тексеріңіз және таңдалған префикстер арқылы сол мекенжайға маршрут бар екеніне көз жеткізіңіз. Резолвер параметрі резолверді қолжетімді етпейді, ал туннельді тарылту оған баратын маршрутты үнсіз жоюы мүмкін. IPv6-ны да жеке тексеріңіз, өйткені дұрыс IPv4 бөлінісі әлі физикалық байланысқа сілтейтін IPv6 әдепкі маршруты туралы ештеңе айтпайды. Бір серіктес блогын өңдегенде үш бөлек шешім бірден өзгеруі мүмкін.

Сонан соң белгілі бастапқы конфигурациядан бір жеке ресурсты және бір қарапайым веб-сайтты ашыңыз. Егер ресурс жауап берсе және шолу әлі де жергілікті қосылым арқылы шықса, бөлініс сіз сұрағанды жасайды. Егер шолу сол сәтте бұзылса, туннель әдепкі маршрутты алды, ал префикстер тізімі — қарау керек жер.

Қатысты мақалалар