WireGuard теңдеши жеткиликсиз, ал эми экинчиси иштеп жатат: текшерүү тизмеси

WireGuard'тын бир теңдеши трафикти өткөрөт, экинчиси кол алышууну аяктайт, бирок туннелдин артындагы эч нерсеге эч качан жетпейт. Иштеп жаткан теңдеш сизге интерфейс, UDP порту жана сервердин ачкычы, балким, тартипте экенин айтат. Ал экинчи теңдештин AllowedIPs параметри, анын ички булак дареги же алардын ортосундагы багыттоо эрежелери жөнүндө эч нерсе айтпайт. Тизмени ирети менен өтүп, шарты аткарылбаган биринчи кадамда токтоңуз.

1-кадам: Пакет өтүүгө тийиш жолду жазыңыз

Бир хабтагы эки кардар бири-бирине автоматтык түрдө жетпейт. Хаб жана шоола түзүлүшүндө сервер пакетти wg0дө кабыл алат жана аны кайра wg0дөн башка теңдешке жөнөтүүгө тийиш, бул IP багыттоону жана багыттоо эрежесин талап кылат. Түз теңдеш-теңдеш түзүлүшүндө ар бир тарапка экинчисинин акыркы чекити жана экинчисинин туннель дареги AllowedIPs ичинде керек. Каалаган конфигурацияны окуудан мурун кайсы түзүлүштү оңдоп жатканыңызды чечиңиз.

Күтүлгөн жол кайда кароо керектигин да айтат. Эгер пакет хаб аркылуу өтүүгө тийиш болсо, ийгиликсиз секирик — жөнөтүүчүнүн AllowedIPs параметри, хабдын багыттоосу же кабыл алуучунун AllowedIPs параметри. Эгер ал түз жүрүүгө тийиш болсо, хаб маанилүү эмес жана эки теңдештин тең акыркы чекит талаалары маанилүү.

2-кадам: AllowedIPs параметрин эки тарапта салыштырыңыз, бир тарапта гана эмес

WireGuard AllowedIPs параметрин маршруттоо таблицасы катары да, уруксат тизмеси катары да колдонот. Жөнөтүүдө туннелди тандоо үчүн барар дарек теңдештин AllowedIPs ичинен изделчү; кабыл алууда ички булак дареги жөнөтүүчү теңдештин AllowedIPs ичине кириши керек, болбосо пакет ыргытылат. Каалаган тарапта диапазон жетпесе, ошол эле белги пайда болот: ташуу иштейт, жүк жоголот.

Файлды эмес, тирүү абалды окуңуз, анткени кайра жүктөө үнсүз ийгиликсиз болушу мүмкүн: sudo wg show wg0 allowed-ips. Серверде ийгиликсиз теңдештин жазуусу анын туннель дарегин камтышы керек, мисалы 10.90.0.3/32. Кардарда сервер теңдешинин жазуусу сиз текшерип жаткан барар жерди камтышы керек, ал хабдын туннель дарегиби же алыскы кошумча тармакпы. Кабатташкан диапазондор издөөнү эки маанилүү кылат жана сиз ойлогон эмес теңдешти тандашы мүмкүн, ошондуктан аларды өзүнчө кармаңыз.

3-кадам: Ички булак дарегин текшериңиз

10.90.0.3 дарегин wg0 аркылуу багыттап, бирок пакеттерди өзүнүн Wi-Fi дарегинен жөнөткөн кардарды кабыл алуучу четке кагат, анткени булак теңдештин AllowedIPs параметрине туура келбейт. Ядро чындыгында эмнени тандаарын ip route get 10.90.0.3 from 10.90.0.2 аркылуу, ал эми туннель интерфейсине берилген даректи ip -brief addr show wg0 аркылуу ырастаңыз.

Кабыл алуучу Linux хостта тескери жол чыпкасы экинчи дарбаза болуп саналат. Кайтуу маршрутуна ээ интерфейсте катуу rp_filter кайтуу жолу келген интерфейске туура келбеген туннель трафигин ыргытышы мүмкүн. Аны өчүрүүдөн мурун таасир этүүчү маанини текшериңиз; көп топологияларда туура оңдоо — багыт, ал эми бошотулган чыпка эмес.

4-кадам: Хабдын багыттоосун жана кайтуу жолун карап чыгыңыз

Эгер хаб теңдештердин ортосунда багыттоого тийиш болсо, ядрого net.ipv4.ip_forward=1 керек, ал эми брандмауэр багытталган агымды кабыл алышы керек: wg0гө кирүү, wg0дөн чыгуу, жөнөтүүчүнүн туннель дарегинен кабыл алуучунукуна. Көп кездешүүчү бузулуу — UDP 51820 кабыл алган кирүү эрежеси бар, бирок багыттоо эрежеси жок], ошондуктан кол алышуу ийгиликтүү болот да, жүк өлөт. Таасир этүүчү эрежелерди sudo nft list ruleset же брандмауэр менеджериңиздин баламасы менен тизмелеңиз.

Андан кийин жоопту текшериңиз. Барар жердин хосту жөнөтүүчүгө кайтуу багытына ээ болушу керек, же хаб аркылуу, же өзүнүн шлюзу аркылуу. Эгер хаб туннелдин кошумча тармагын да NAT кылса, котормонун багытталган агымга колдонулаарын жана жооп абалдын мөөнөтү бүтөөрдөн мурун хабга жетеерин ырастаңыз. Ачкыч көйгөйүнө окшош бир багыттуу бузулуу көбүнчө ушул кайтуу багыт болуп чыгат.

Акырында, кол алышууну маалыматтардан бөлүңүз. Кол алышууну аяктап, бирок чоң өткөрүүлөрдө токтоп калган теңдештин адатта ошол эле жолдо MTU же MSS көйгөйү болот, AllowedIPs көйгөйү эмес. Адегенде кичине ping менен, анан толук өлчөмдөгү ping менен текшерип, эки теңдешти салыштырыңыз.

5-кадам: Бир нерсени өзгөртүп, иштеп жаткан теңдешти бузулбаган бойдон калтырыңыз

Ийгиликсиз жолдо бир гана өзгөртүү жасап, эки теңдешти кайра текшериңиз. Ар бир теңдештин AllowedIPs параметрин 0.0.0.0/0 менен алмаштыруу — мурунтан иштеп жаткан теңдешти бузуунун эң тез жолу, анткени бул ошол интерфейстеги бардык трафиктин маршруттоо чечимин өзгөртөт. Ошол бир жазууну түзөтүп, кайра жүктөп, тирүү абалды кайра окуңуз.

Кайсы жол ийгиликтүү болгонун, кайсынысы ийгиликсиз болгонун жана ар биринин так команда чыгышын жазып алыңыз. Бул салыштыруу VPN бузулду деген жалпы отчёттон кымбат, жана кийинки адам эң оболу ошону сурайт.