Эки WireGuard peer бир диапазонду бөлүшөт: пакетти кайсы алат
Кайчылашкан диапазондор тартип менен эмес, эң так префикс менен чечилет. Бир нерсени кеңейтүүдөн мурун адегенде маршрутту, анан peer тизмесин текшериңиз.
Эки peer тийишкен диапазондорду тизмелейт жана трафик туура эмес жакка жетет. Эч нерсе бузулган эмес: WireGuard багытты конфигурацияланган диапазондор менен салыштырып peer тандайт жана эң так дал келүү жеңет. Бир нерсени кеңейтүүдөн мурун кайсы peer кайсы префикске ээ болушу керектигин чечиңиз.
WireGuard ичинде эң узун префикс жеңет
Ар бир peer жазуусу багыт префикстеринин топтомун алып жүрөт. Пакет интерфейске маршрутталганда, ишке ашыруу эң так дал келген префикси бар жазууну издейт — маршруттоо таблицасы колдонгон ошол эле эреже. Ошондуктан /24 аны камтыган /16ны жеңет жана тар peer трафикти алат.
Road-warrior конфигурациялары муну атайын колдонот. Бир peer сайт үчүн кең диапазонго ээ, ал эми жеке хосттор башка peerлерге таандык /32 жазуулары менен бөлүнөт. Үлгү иштейт, анткени бөлүнүүлөр такыраак, тартипке байланыштуу эмес.
Ээликти префикс жана peer таблицасы катары жазыңыз. Эки жазуу бир эле префиксти сүрөттөсө, конфигурация эми ниетти эмес, жарышты билдирет.
Операциялык система адегенде интерфейсти тандайт
WireGuard бир интерфейстеги peerлердин арасынан гана тандайт. Кайсы интерфейс пакетти алаары мурунураак, хосттун маршруттоо таблицасы менен чечилет, жана экинчи демейки маршрут же эскирген маршрут трафикти peer тизмеси эч качан көрбөгөн жерге жибере алат. Ошондуктан peer деңгээлиндеги диагностика туура болушу мүмкүн жана баары бир бузулууну түшүндүрбөйт. peer конфигурациясын окуудан мурун багытка маршрутту текшериңиз, анткени физикалык интерфейске көрсөткөн маршрут бүт маселени айланып өтөт.
Курал адатта бул маршруттарды peer диапазондорунан орнотот, башкача айтканда бир peer тизмесиндеги өзгөртүү мурун башкага таандык болгон трафикти үнсүз кайра багыттай алат. Ошондуктан peerди оңдоо — жашыруун маршруттоо өзгөртүүсү. Экөөнү чогуу карап чыгыңыз, болбосо бирөөнү түзөтүп, экинчисин бузасыз.
Кирүүчү пакеттер булак боюнча текшерилет
Диапазондор тизмеси кош ролду аткарат. Чыгуучу трафик үчүн ал багыт боюнча peer тандайт, ал эми кирүүчү трафик үчүн булак дарегине уруксат берет. Ошол peerдин диапазондорунан тышкаркы даректен келген пакет кандайдыр бир файрвол аны көрөөрдөн мурун ташталат.
Бул асимметрияны конфигурациянын бир тарабын окуганда байкабай калуу оңой. Кошумча тармакка жете алган peer ага карабастан ошол кошумча тармактан жөнөтүүгө укуктуу эмес, жана эки багыт тең ар башка текшерүүлөр менен камсыздалат.
Булактын тар ээлиги муну артыкчылыкка айландырат. Ар бир peerге өз дареги үчүн /32 бериңиз, ошондо төмөнкү файрвол салыштыруу үчүн ишенимдүү булакка ээ болот, каалаган мүчө талап кыла турган топтук диапазондун ордуна.
Кайталанган диапазондор failover эмес
Бир эле префиксти эки peerге дайындоо жүктөм теңдештиргичти же камдык жолду жаратпайт. Ден соолук текшерүүсү да, сессия байланышы да жок: жеңген жазууну ишке ашыруунун ички тартиби аныктайт, бул долбоорлоого тийиш келишим эмес. Альтернативалуу чыгуулар керек болсо, аларды тандоо аныкталган жерде билдириңиз. Маршруттоо саясаты, метрика же ар биринин документтелген ээси бар эки башка префикс — алардын ар бири алдын ала айта жана текшере ала турган жүрүм-турумду жаратат.
Байланышсыз бузулууну оңдоо үчүн диапазонду кеңейтүү — экинчи кеңири таралган ката. Ал трафикти иштеп жаткан peerден алыстатат жана эскиси түшүнүлө электе жаңы белги келет.
Оңдоодон мурун тандоону текшериңиз
Үч буйрук үч суроого тартиби менен жооп берет. Биринчиси ар бир peer талап кылган диапазондорду тизмелейт. Экинчиси хост багыт үчүн кайсы интерфейсти колдоноорун көрсөтөт. Үчүнчүсү трафик өткөндөн кийинки peerлердин тирүү абалын көрсөтөт.
wg show wg0 allowed-ips ip route get 10.66.8.20 wg show wg0 ip rule show
Аларды өзгөртүүдөн мурун жана кийин иштетип, салыштырыңыз. Эгер маршруттун чыгарылышы өзгөрсө, бирок трафик дагы эле туура эмес peerге жетсе, префикс тизмелери сиз жаза элек ыкма менен кайчылашат. Эгер маршруттун чыгарылышы өзгөрбөсө, peer конфигурациясы эч качан суралган нерсе болгон эмес.
Билетте багытты, тандалган интерфейсти жана тандалган peerди жазыңыз. Так ушул үчтүк кайчылашууну кийин карап чыгууга мүмкүн кылат жана ал конфигурациянын экран сүрөтүнөн алда канча пайдалуу.