WireGuard ನಲ್ಲಿ ಹೋಸ್ಟ್ ಪ್ರಿಫಿಕ್ಸ್: ಒಂದು ವಿಳಾಸ ಏಕೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ಉಳಿದವು ಇಲ್ಲ

ಟನೆಲ್ ಚಾಲನೆಯಲ್ಲಿದೆ, handshake ಪ್ರತಿ ಎರಡು ನಿಮಿಷಕ್ಕೆ ಸಂಭವಿಸುತ್ತದೆ, ಮತ್ತು ಇನ್ನೊಂದು ಬದಿಯಲ್ಲಿ ನಿಖರವಾಗಿ ಒಂದು ವಿಳಾಸ ಪ್ರತಿಕ್ರಿಯಿಸುತ್ತದೆ. ಪೀರ್ನ ಟನೆಲ್ ವಿಳಾಸಕ್ಕೆ ping ಕೆಲಸ ಮಾಡುತ್ತವೆ; ಅದರ ಹಿಂದೆ ಯಾವುದೂ ಕೆಲಸ ಮಾಡುವುದಿಲ್ಲ. ಯಾರೋ ಇಂಟರ್ಫೇಸ್ ಸಂರಚನೆಯನ್ನು ಓದಿ, ಹೋಸ್ಟ್ ಪ್ರಿಫಿಕ್ಸ್ ಕಂಡು, ಮಾಸ್ಕ್ ತಪ್ಪು ಎಂದು ತೀರ್ಮಾನಿಸುತ್ತಾರೆ. ಅದನ್ನು /24 ಗೆ ವಿಸ್ತರಿಸುವುದು ping ಅನ್ನು ಸ್ವಲ್ಪ ಸಮಯ ಸರಿಪಡಿಸಿ ನಂತರ ಬೇರೆ ಯಾವುದನ್ನೋ ಮುರಿಯುತ್ತದೆ. ಪ್ರಿಫಿಕ್ಸ್ ಎಂದೂ ಕಾರಣವಾಗಿರಲಿಲ್ಲ, ಮತ್ತು ಕಾಣೆಯಾದ ಮಾರ್ಗವು ಮಾಸ್ಕ್ ನಿಯಂತ್ರಿಸುವ ಮಾರ್ಗವಲ್ಲ.

ಇಂಟರ್ಫೇಸ್ ಪ್ರಿಫಿಕ್ಸ್ ನಿಜವಾಗಿ ಏನು ಸೃಷ್ಟಿಸುತ್ತದೆ

Linux ನಲ್ಲಿ ಇಂಟರ್ಫೇಸ್ಗೆ ವಿಳಾಸ ನೀಡುವುದು ಆ ಪ್ರಿಫಿಕ್ಸ್ಗೆ ಸಂಪರ್ಕಿತ ಮಾರ್ಗವನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ. ಹೋಸ್ಟ್ ಪ್ರಿಫಿಕ್ಸ್ ನೀಡಿದರೆ ಸಂಪರ್ಕಿತ ಮಾರ್ಗ ಒಂದು ವಿಳಾಸವನ್ನು ಆವರಿಸುತ್ತದೆ. /24 ನೀಡಿದರೆ ಅದು 256 ಆವರಿಸುತ್ತದೆ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಪ್ರತಿಯೊಂದೂ ಈಗ ಆ ಕೊಂಡಿಯ ಮೂಲಕ ತಲುಪಬಹುದಾದುದು ಎಂದು ಪರಿಗಣಿಸಲ್ಪಡುತ್ತದೆ.

ip -4 addr show dev wg0
ip -4 route show dev wg0
ip route get 10.80.7.1

ಹೋಸ್ಟ್ ಪ್ರಿಫಿಕ್ಸ್ ಪಾಯಿಂಟ್-ಟು-ಪಾಯಿಂಟ್ ಟನೆಲ್ಗೆ ಸಂಪೂರ್ಣ ಸಾಮಾನ್ಯ ಆಯ್ಕೆ, ಏಕೆಂದರೆ ಇನ್ನೊಂದು ತುದಿಯಲ್ಲಿ ನಿಖರವಾಗಿ ಒಂದು ಪೀರ್ ಇರುತ್ತದೆ. ಮೂರನೇ ಆಜ್ಞೆಯೇ ಬಳಕೆದಾರರ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ: ಕರ್ನಲ್ ಆ ಗಮ್ಯಕ್ಕೆ ಯಾವ ಇಂಟರ್ಫೇಸ್ ಬಳಸುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತದೆ, ಯಾವ ಮಾರ್ಗವೂ ಹೊಂದಿಕೆಯಾಗದಿದ್ದರೆ ಉಪಯುಕ್ತವಾದ್ದನ್ನು ತೋರಿಸುವುದಿಲ್ಲ.

ಲಕ್ಷಣದ ಪೂರ್ಣ ವಿವರಣೆ ಇದೇ. ಒಂದು ವಿಳಾಸ ಪ್ರತಿಕ್ರಿಯಿಸುತ್ತದೆ ಏಕೆಂದರೆ ಅದಕ್ಕೆ ಸಂಪರ್ಕಿತ ಮಾರ್ಗ ಇದೆ, ಅಥವಾ ಪೀರ್ನ ಅನುಮತಿಸಿದ ಪಟ್ಟಿಯಲ್ಲಿ ಅದು ಆಕಸ್ಮಿಕವಾಗಿ ಇದೆ. ಉಳಿದ ಎಲ್ಲದಕ್ಕೂ ಮಾರ್ಗವಿಲ್ಲ ಮತ್ತು WireGuard ಒಳಗಾಗುವ ಮೊದಲೇ ಅದು ಬಿಸಾಡಲ್ಪಡುತ್ತದೆ. ಟನೆಲ್ ಸಾರ್ವಕಾಲಿಕ ಆರೋಗ್ಯಕರವಾಗಿರುತ್ತದೆ, ಅದಕ್ಕೇ handshake ಕೌಂಟರ್ ಭರವಸೆ ನೀಡುವಂತೆ ಕಾಣುತ್ತಲೇ ಇರುತ್ತದೆ.

AllowedIPs ಒಂದೇ ಹೆಸರಿನಡಿ ಎರಡು ನಿಯಮಗಳು

WireGuard ನ ಪ್ರತಿ-ಪೀರ್ ಅನುಮತಿಸಿದ ಪಟ್ಟಿ ಒಂದೇ ಸಮಯದಲ್ಲಿ ಎರಡು ಕೆಲಸಗಳನ್ನು ಮಾಡುತ್ತದೆ, ಸಂರಚನೆಯ ವಾಕ್ಯರಚನೆ ಅವುಗಳನ್ನು ಒಂದರಂತೆ ಕಾಣಿಸುತ್ತದೆ. ಒಳಬರುವಾಗ ಪೀರ್ ಯಾವ ಮೂಲ ವಿಳಾಸಗಳನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಬಹುದು ಎಂಬುದನ್ನು ಅನುಮತಿಸುತ್ತದೆ. ಹೊರಹೋಗುವಾಗ ಪ್ಯಾಕೆಟ್ ಯಾವ ಪೀರ್ಗೆ ಕಳುಹಿಸಬೇಕು ಎಂಬುದನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ಅತ್ಯಂತ ನಿರ್ದಿಷ್ಟ ಹೊಂದಾಣಿಕೆಯನ್ನು ಕಂಡುಹಿಡಿದು.

ಈ ಎರಡು ಕೆಲಸಗಳಲ್ಲಿ ಯಾವುದೂ ರೂಟಿಂಗ್ ಅಲ್ಲ. ಪ್ಯಾಕೆಟ್ ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ಗೆ ಸೇರಿದೆ ಎಂದು ಕರ್ನಲ್ ಇನ್ನೂ ನಿರ್ಧರಿಸಬೇಕು, ಅದಕ್ಕೂ ಮೊದಲು WireGuard ಅದನ್ನು ನೋಡುತ್ತದೆ, ಈ ನಿರ್ಧಾರ ರೂಟಿಂಗ್ ಕೋಷ್ಟಕದಿಂದ ಬರುತ್ತದೆ. ವಿಶಾಲ ಅನುಮತಿಸಿದ ಪಟ್ಟಿಯ ಪೀರ್ ನಮೂದು ತಾನಾಗಿಯೇ ಮಾರ್ಗವನ್ನು ಸ್ಥಾಪಿಸುವುದಿಲ್ಲ.

ಅದಕ್ಕೇ ಒಂದು ಸಂರಚನೆ ಪೂರ್ಣವಾಗಿ ಕಾಣುತ್ತಾ ಅಸಮಮಿತವಾಗಿ ವರ್ತಿಸಬಹುದು. ಮಾರ್ಗ ಇರುವುದರಿಂದ ಕ್ಲೈಂಟ್ ಇನ್ನೊಂದು ಬದಿಗೆ ಕಳುಹಿಸುತ್ತದೆ, ಇನ್ನೊಂದು ಬದಿಯ ಅನುಮತಿಸಿದ ಪಟ್ಟಿ ಕ್ಲೈಂಟ್ನ ಮೂಲವನ್ನು ಅನುಮತಿಸದ ಕಾರಣ ಅಥವಾ ಇನ್ನೊಂದು ಬದಿಗೆ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಇಲ್ಲದ ಕಾರಣ ಉತ್ತರಗಳು ಎಂದೂ ತಲುಪುವುದಿಲ್ಲ. ಎರಡೂ ದಿಕ್ಕುಗಳು ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರಗಳು ಪ್ರತ್ಯೇಕ ವೈಫಲ್ಯ ವಿಧಾನಗಳೊಂದಿಗೆ. ನೀವು ಯಾವುದನ್ನು ಪರೀಕ್ಷಿಸುತ್ತಿದ್ದೀರಿ ಎಂದು ಬರೆಯುವುದು ರೋಗನಿರ್ಣಯದ ಅರ್ಧ.

ಮಾರ್ಗ ಎಲ್ಲಿಂದ ಬರುತ್ತದೆ

ನೀವು wg-quick ಬಳಸಿದರೆ, ಮಾರ್ಗಗಳು ನಿಮಗಾಗಿ ಪ್ರತಿ ಪೀರ್ನ ಅನುಮತಿಸಿದ ಪಟ್ಟಿಯಿಂದ ರಚಿಸಲ್ಪಡುತ್ತವೆ, ನೀವು Table = off ಹೊಂದಿಸಿ ನಿಯಂತ್ರಣವನ್ನು ನೀವೇ ತೆಗೆದುಕೊಳ್ಳದಿದ್ದರೆ. ಇದು ಸಾಧನದ ದಾಖಲಿತ ನಡವಳಿಕೆ, ಅದಕ್ಕೇ ಸ್ಪಷ್ಟ ಮಾರ್ಗ ಸೂಚನೆಗಳಿಲ್ಲದೆಯೂ ಸಂರಚನೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ.

sudo wg show wg0 allowed-ips
ip route show | grep wg0
sudo wg-quick strip wg0

ಅನುಮತಿಸಿದ ಪಟ್ಟಿಯನ್ನು ನಿಜವಾಗಿ ಇರುವ ಮಾರ್ಗಗಳೊಂದಿಗೆ ಹೋಲಿಸಿ. ಇಡೀ ಸಬ್ನೆಟ್ ಅನ್ನು ಅನುಮತಿಸಿ ಆದರೆ ಒಂದು ಹೋಸ್ಟ್ ಮಾರ್ಗವನ್ನು ಮಾತ್ರ ಸೃಷ್ಟಿಸಿದ ಪೀರ್ ಎಂದರೆ ಸಹಾಯಕ ಎಂದೂ ಓಡಿಲ್ಲ, ಅಥವಾ ನೀವು ಇಂಟರ್ಫೇಸ್ ಅನ್ನು ನೇರವಾಗಿ wg ಮತ್ತು ip ಮೂಲಕ ನಿರ್ವಹಿಸುತ್ತಿದ್ದೀರಿ, ಆಗ ನಿಮಗಾಗಿ ಯಾವುದೂ ಮಾರ್ಗಗಳನ್ನು ಸೃಷ್ಟಿಸುವುದಿಲ್ಲ.

ನೀವು ಅದನ್ನು ಕೈಯಿಂದ ನಿರ್ವಹಿಸಿದಾಗ, ಮಾರ್ಗ ಒಂದು ಸಾಲು ಮತ್ತು ಅದರ ಆಕಾರ ಸ್ಪಷ್ಟ: ಗಮ್ಯ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ, ಗೇಟ್ವೇ ಇಲ್ಲದೆ ಏಕೆಂದರೆ ಕೊಂಡಿ ಪಾಯಿಂಟ್-ಟು-ಪಾಯಿಂಟ್. ಅದನ್ನು ಸೇರಿಸುವುದು ಕೆಟ್ಟ ಪ್ರಿಫಿಕ್ಸ್ಗೆ ಪರಿಹಾರವಲ್ಲ; ರೂಟಿಂಗ್ ಅನ್ನು ತಾವೇ ತೆಗೆದುಕೊಂಡ ವಿನ್ಯಾಸದ ಕಾಣೆಯಾದ ಅರ್ಧ ಅದು.

ವಿಶಾಲ ಪ್ರಿಫಿಕ್ಸ್ ಪೀರ್ ನಮೂದನ್ನು ಸೇರಿಸುವುದಿಲ್ಲ

ಆಕರ್ಷಕ ಸರಿಪಡಿಸುವಿಕೆ ಎಂದರೆ ವಿಳಾಸವನ್ನು /24 ಗೆ ಬದಲಿಸುವುದು, ಆಗ ಸಂಪರ್ಕಿತ ಮಾರ್ಗ ಸರ್ವರ್ನ ಸ್ಥಳೀಯ ನೆಟ್ವರ್ಕ್ ಅನ್ನು ಆವರಿಸುತ್ತದೆ. ಅದು ಕೆಲಸ ಮಾಡುತ್ತಿರುವಂತೆ ಕಾಣುತ್ತದೆ, ಕೆಲಸ ಮಾಡುತ್ತಿರುವಂತೆ ಕಾಣುವ ಕಾರಣ ಸಂಪರ್ಕಿತ ಮಾರ್ಗ ಈಗ ಹೊಂದಿಕೆಯಾಗುತ್ತಿದೆ, WireGuard ಹೊಸದನ್ನು ಕಲಿತದ್ದಲ್ಲ.

ನೀವು ಇನ್ನೂ ಮಾಡಿದ್ದು ಇಡೀ ಶ್ರೇಣಿಯನ್ನು ಆ ಕೊಂಡಿಯ ಮೂಲಕ ನೇರವಾಗಿ ತಲುಪಬಹುದಾದುದು ಎಂದು ಘೋಷಿಸಿದ್ದು, ಅದರಲ್ಲಿ ಇತರ ಪೀರ್ಗಳಿಗೆ ಅಥವಾ ನಿಜವಾಗಿ ಸರ್ವರ್ನ ಹಿಂದೆ ಇರುವ ಸ್ಥಳೀಯ ನೆಟ್ವರ್ಕ್ಗೆ ಸೇರಿದ ವಿಳಾಸಗಳೂ ಸೇರಿವೆ. ಆ ವಿಳಾಸಗಳಿಗೆ ಸಂಚಾರ ಈಗ ಟನೆಲ್ಗೆ ಪ್ರವೇಶಿಸುತ್ತದೆ, ಅದು ಇನ್ನೊಂದು ಬದಿಯಿಂದ ಹೊರಬರುತ್ತದೆಯೇ ಎಂಬುದು ಸರ್ವರ್ನ ಸ್ವಂತ ರೂಟಿಂಗ್ ಮತ್ತು ಅನುಮತಿಸಿದ ಪಟ್ಟಿಗಳನ್ನು ಅವಲಂಬಿಸಿದೆ.

ಕ್ರಿಪ್ಟೋ ಬದಿ ಯಾವ ಸಂದರ್ಭದಲ್ಲೂ ಬಾಧಿತವಾಗುವುದಿಲ್ಲ. WireGuard ಪೀರ್ ಆಯ್ಕೆ ಮಾಡಲು ಅನುಮತಿಸಿದ ಪಟ್ಟಿಯಲ್ಲಿ ಗಮ್ಯವನ್ನು ಆವರಿಸುವ ನಮೂದು ಇನ್ನೂ ಬೇಕು, ಇನ್ನೊಂದು ಬದಿ ನಿಮ್ಮ ಮೂಲವನ್ನು ಒಪ್ಪಿಕೊಳ್ಳಲು ಅದನ್ನು ಆವರಿಸುವ ನಮೂದು ಇನ್ನೂ ಬೇಕು. ವಿಶಾಲ ಇಂಟರ್ಫೇಸ್ ಪ್ರಿಫಿಕ್ಸ್ ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನೂ ನೀಡಲಾರದು.

ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಎರಡೂ ದಿಕ್ಕುಗಳನ್ನು ದೃಢೀಕರಿಸಿ

ಎರಡೂ ತುದಿಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ನೋಡಿ ಪ್ರತಿಯೊಂದೂ ಏನು ಹೇಳುತ್ತದೆ ಎಂದು ಬರೆಯಿರಿ. ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಮಾರ್ಗ ಮತ್ತು ಪೀರ್ ನಮೂದು; ಸರ್ವರ್ನಲ್ಲಿ ಕನ್ನಡಿ ಪ್ರತಿಬಿಂಬ ಮತ್ತು ಅದರ ಸ್ವಂತ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ:

ip route get 192.168.70.20
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo tcpdump -ni wg0 -c 10

ಸೆರೆಹಿಡಿಯುವಿಕೆಯೇ ದಿಕ್ಕಿನ ಬಗ್ಗೆ ವಿವಾದಗಳನ್ನು ಬಗೆಹರಿಸುತ್ತದೆ. ಹೊರಹೋಗುವ ಪ್ಯಾಕೆಟ್ಗಳು ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಕಾಣಿಸಿ ಸರ್ವರ್ ಏನನ್ನೂ ದಾಖಲಿಸದಿದ್ದರೆ, ದೂರದ ತುದಿ ಅವನ್ನು ತಿರಸ್ಕರಿಸುತ್ತಿದೆ, ಸಾಮಾನ್ಯವಾಗಿ ನಿಮ್ಮ ಮೂಲ ಅದರ ಅನುಮತಿಸಿದ ಪಟ್ಟಿಯ ಹೊರಗೆ ಇರುವುದರಿಂದ. ಏನೂ ಕಾಣಿಸದಿದ್ದರೆ, ಮಾರ್ಗ ಕಾಣೆಯಾಗಿದೆ ಅಥವಾ ಬೇರೆಡೆಗೆ ತೋರಿಸುತ್ತದೆ.

ನಂತರ ಅತ್ಯಂತ ಸಂಕುಚಿತ ತುದಿಯನ್ನು ಸರಿಪಡಿಸಿ. ಸರ್ವರ್ ಕಡೆ ನಿಮ್ಮ ಕ್ಲೈಂಟ್ ವಿಳಾಸಕ್ಕಾಗಿ ಅನುಮತಿಸಿದ ಪಟ್ಟಿಯಲ್ಲಿ ನಮೂದು ಮತ್ತು ಕ್ಲೈಂಟ್ ಕಡೆ ಗಮ್ಯ ಸಬ್ನೆಟ್ಗಾಗಿ ನಮೂದು ಸಾಮಾನ್ಯ ಆಕಾರ, ಅದು ಇಂಟರ್ಫೇಸ್ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ಮುಟ್ಟುವುದಿಲ್ಲ. ವಿಳಾಸ ಯೋಜನೆ ನಿಜವಾಗಿ ಆ ಕೊಂಡಿಯಲ್ಲಿ ಹಂಚಿದ ಸಬ್ನೆಟ್ ಬಯಸಿದರೆ ಮಾತ್ರ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ವಿಸ್ತರಿಸಿ, ಮತ್ತು ಅದನ್ನು ಡೀಬಗ್ ಹಂತವಾಗಿ ಅಲ್ಲದೆ ಯೋಜನೆ ಬದಲಾವಣೆಯಾಗಿ ಮಾಡಿ.