Бир жолду далилдеген эки peer-дүү WireGuard тестин кантип куруу керек

Бир туннель, бир жуп дарек, бир уруксат берилген ресурс. Минималдуу WireGuard негизи кийинки ар кандай forwarding, NAT же DNS өзгөрүүсүн көрүнүктүү кылат.

Демейки маршрутту, LAN префиксин, DNS жана firewall өзгөчөлүгүн көтөргөн WireGuard тести кайсынысы бузулганын айта албайт. Аны эки peerге, бир жуп дарекке жана бир уруксат берилген кызматка чейин кыскартыңыз, ошондо бузулууга жашына турган жер калбайт. Тажатма негиз — ошол диагностика. Аны биринчи куруңуз; ал он беш мүнөт алат жана божомолдоого кетер түштөн кийинки убакытты үнөмдөйт.

Негиз далилдеген нерсе көпчүлүк күткөндөн тар. Ал эки инсандык макулдашаарын, UDP угуу портуна жетерин жана бир уруксат берилген багыт сурам алып жүрөрүн далилдейт. Forwarding, NAT, LAN маршруттары жана DNS кийин бир-бирден кошулуучу өзүнчө функциялар.

Ачкычтар, даректер жана жалгыз endpoint

Ар бир системада ачкыч жубуна жасап, алардын ортосунда гана ачык жарымдарын жылдырыңыз. wg genkey | tee privatekey | wg pubkey > publickey — бул документтелген бир сап буйрук жана жеке ачкычты кийин коргой алган файлда калтырат. Туннель даректерин сиздеги башка эч бир конфигурацияда кездешпеген диапазондон тандаңыз, мисалы 10.99.0.1/24 жана 10.99.0.2/24. Кайсы дарек кайсы машинага таандык экенин жазып коюңуз, анткени кийинки ар бир текшерүү ошол шайкештикке байланыштуу.

Жеке ачкычтар эч качан жүрбөйт. Эгер тестке бирөөнү экинчи тарапка көчүрүү керек болсо, тест буга чейин эле туура эмес кеткен. Эки система NAT артында болсо, жок дегенде бирине жеткиликтүү UDP порту керек, экинчиси ага багытталган Endpoint алып жүрөт, ал эми ачык дарек менен порт 51820 тууралуу божомолдоруңузда эмес, жазууларыңызда болушу керек.

Башка сырткы портту шайкеш кылган порт forwarding Endpoint ага дал келгенге чейин жакшы иштейт. Бул жердеги шайкешсиздик каталардын ордуна үнсүздүк жаратат, ошондуктан зымда оңдоого киришерден мурун кагазда текшерүү пайдалуу.

wgге таандык талаалар жана таандык болбогондору

Негизги талаалардын топтому кичине: Interface астында PrivateKey жана ListenPort, Peer астында PublicKey, AllowedIPs жана Endpoint. Address жана DNS wgнин өзүнө эмес, wg-quickке таандык, жана бул айырма ошол эле конфигурация башка куралга өткөн учурда тиштеп калат.

[Interface]
PrivateKey = <peer-a-private>
Address = 10.99.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <peer-b-public>
AllowedIPs = 10.99.0.2/32
Endpoint = 203.0.113.10:51820

AllowedIPs бир убакта эки иш аткарат. Ал кайсы багыттар туннелге кирерин тандайт жана peerге келгенде ошол булак даректерин колдонууга укук берет. Ошондуктан аркы тараптагы күзгү жазуу туннель дарегиңизди так аташы керек; туура эмес peer үчүн /32 маршруттоо маселеси катары окулат жана авторизация маселесиндей жүрүм-турум кылат. WireGuard тез баштоо талаа аттарын салыштыргыңыз келсе, канондук туюнтма менен ошол эки peer формасын көрсөтөт.

Белгинин ордуна handshake окуу

Интерфейсти ага ээ болгон нерсе аркылуу көтөрүңүз, анан статус жарыгынын ордуна абалды окуңуз. wg show ар бир peer үчүн акыркы handshake менен байт эсептегичтерин басып чыгарат, ал эми акыркы бир нече мүнөттөгү handshake ачкычтар, endpoint жана UDP жолунун баары иштеп жатканын билдирет. Бир гана багытта өскөн эсептегич — өзүнүн жообу, жана ал эч качан болбогон handshake менен бирдей бузулуу эмес.

Эки бузулуу ар башка иликтөөнү билдирет. Handshake такыр болбошу ачкычтардын шайкешсиздигине, туура эмес Endpointке, тоскоолдукка учураган UDPге же handshakeдин өзүн таштаган firewallга көрсөтөт. Handshake ийгиликтүү болуп, бирок маалымат эч жакка барбаса, бул AllowedIPs, туннель дарегинде укпаган кызмат же портту LAN үчүн кабыл алып, туннель интерфейси үчүн кабыл албаган хост firewallына көрсөтөт. Булар системанын ар башка жарымдары, жана негиз эрежелерди өзгөртүүдөн мурун аларды ажыратат.

Бир уруксат берилген кызматты далилдөө, анан тескерисинче

Экинчи peerдин туннель дарегине жооп бериши керек болгон кызматка сурам жөнөтүңүз жана pingден жакшыраак нерсе тандаңыз. ICMP жообунун жоктугу туннель бузулушу эмес, хост чыпкасы болушу мүмкүн, ошондуктан үнсүз ping эки багыттын бирин да далилдебейт. Өзүңүз ачык деп билген портко TCP байланышы же маалыматты кайтарган сурам сизге чечмелөөгө боло турган жооп берет.

Тескери багытты өзүнүн натыйжасы бар өзүнчө тест катары жүргүзүңүз, анткени эки багыттын firewall жана AllowedIPs жазуулары өзүнчө жана алар көз карандысыз ишке ашпай калышы мүмкүн. Эгер handshake иштеп, сурам иштебесе, маселе туннелде эмес, маалымат жолунда: AllowedIPs, угуучу кызмат же хост firewallы. Forwarding, NAT же DNS кошконго чейин муну оңдоңуз, болбосо эч качан күнөөлүү болбогон функцияны оңдоого түштөн кийинки убакытты жумшайсыз.

Негизди эталон катары сактоо

Иштеп жаткан топологияны жана профилдин булагын калыбына келтире алган жерге сактаңыз жана аларды ачык кызматка синхрондалган каалаган папкадан тышкары кармаңыз. Анан бир убакта бир функция кошуп, ар биринен кийин баштапкы сурамды кайталаңыз: forwarding, NAT, LAN маршруту жана андан кийин гана DNS. Тестти бузган ар бир кошумча эми аныктала алат, анткени башка эч нерсе кыймылдаган жок.

Белгини гана жашыл кылган негиз кийинки бузулууга кайсы кошумча себеп болгону тууралуу сизге эч нерсе айткан жок. Жалгыз уруксат берилген жолду эталон катары иштеп турган бойдон кармаңыз, жана кийинки ар бир өзгөрүү ага салыштырылып өлчөнөт.

Тектеш макалалар