WireGuard уюлдук маалыматта иштейт, бирок бир wifiде иштебейт
LAN ичинен маршрутизатордун ачык дарегине кеткен суроо уюлдук маалыматтан келген суроодон башка жол менен жүрөт. Сыртта сынап көрүңүз, анан жергиликтүү жолду тандаңыз.
Туннель уюлдук маалыматта көтөрүлөт, анан үйдө туташууда бойдон калат: профиль да, peer ачкычы да ошол эле, ортосунда конфигурация өзгөрүүсү жок. Айырмачылык жолдо: LAN ичинен маршрутизатордун ачык дарегине кеткен суроо интернеттен келген суроо менен бирдей сапар эмес. Үй шлюздарынын көбү кайтуу жолун же такыр ишке ашырбайт, же белгилүү бир протоколдор үчүн гана ишке ашырат. Бул ачкычта эч нерсе өзгөрбөсө да, симптомду бузулган ачкыч сыяктуу көрсөтөт. Ачкычка, портту багыттоого же кардар профилине тийүүдөн мурун кайсы жол иштебей калганын аныктаңыз.
Бир дарек, эки башка жол
Сырттан пакет маршрутизатордун ачык дарегине жетет, ал эми портту багыттоо эрежеси аны ички хосттогу WireGuard угуучусуна берет. Ичтен кардар ошол эле ачык даректи чакырат, ошондуктан пакет кардардан чыгып, маршрутизаторго жетет жана LAN жакка кайра бурулушу керек. Эки жол так ошол кайра бурууда ажырайт, анткени маршрутизатор бир интерфейстен чыгып, кайра кирген агымды которушу керек. Көптөгөн ишке ашыруулар аны которуунун ордуна таштайт, ошондо кардар эч качан жөнөтүлбөгөн кол алышууну күтөт.
Бул жүрүм-турум адатта NAT loopback же hairpinning деп аталат жана ал WireGuardга эмес, маршрутизаторго таандык; RFC 4787 шлюз колдой алган же колдой албаган которуу учурларын баяндайт. WireGuard өзү жол тууралуу пикир билдирбейт, анткени ал өз интерфейсине жеткен пакеттерди гана көрөт. Маршрутизатор агымды таштаганда, демон эч качан эч нерсе албайт, кардар кол алышуу убактысы бүткөнүн билдирет, ал эми сервер журналы бош калат. Бош журнал ошондуктан пакеттин кайда токтогонуна белги, сервердин иштебей калганына далил эмес. Кайра орнотуунун эч нерсени өзгөртпөшүнүн себеби да ушул.
Тескерисинче да маанилүү: LAN дарегинен кол алышуу аракетин көрсөткөн сервер журналы пакеттин келгенин жана жолдун туура экенин далилдейт, бул иликтөөнү ачкычтар менен уруксат берилген даректерге өткөрөт. Журналды ал далилдеген нерсе үчүн окуңуз, көрүүнү күткөн нерсе үчүн эмес.
Бир нерсени өзгөртүүдөн мурун аны кайра жаратыңыз
Бир түзмөк жана бир профиль менен уруксат берилген сырткы тармактан сынап көрүңүз, анан эч нерсени оңдобой сыноону LAN ичинде кайталаңыз. Сыртта аяктаган кол алышуу жана ичте түзмөктөн эч качан чыкпаган кардар абалды болжолдоонун ордуна кайра жаратат. Эки аракет тең бир профилди колдонушу керек, болбосо салыштыруу эч нерсени далилдебейт.
Анан акыркы чекит аталышы бул түзмөк үчүн эмнеге чечилерин караңыз. Төмөнкү үч буйрук кардар чындыгында кайсы даректи чакырганын да көрсөтөт:
wg show wg0 endpoints
dig +short vpn.example.net A
resolvectl query vpn.example.netБиринчи буйрук интерфейстин азыр колдонуп жаткан акыркы чекитин билдирет, калган экөө аталыштын бул машинада эмнеге чечилерин көрсөтөт. Сервер менен бир тармакта отуруп ачык даректи чакырган кардар hairpin жолун колдонуп жатат. LAN дарегин чакырган кардар андай кылбайт, ал эми ал жердеги бузулуу башка иликтөөгө таандык. Ошол айырма кийинки бөлүмдүн таптакыр тиешелүү экенин чечет.
Жакын серверге жетүүнүн колдоого алынган жолдору
Эң таза жайгаштыруу — горизонт бөлүнгөн жооп: ачык аталыш интернет үчүн ачык дарекке, ички кардарлар үчүн сервердин LAN дарегине чечилет. Профиль бир акыркы чекит аталышын сактайт, ал эми чечүүчү жолду тандайт. Бул ички DNS жообун көзөмөлдөөнү талап кылат; үй маршрутизатору аны адатта сунуштайт, ал эми уюм аны атайын жайгаштыра алат. Бул көзөмөлсүз калган варианттар — маршрутизатор функциясы же экинчи профиль.
Маршрутизатор функциясы — чагылыш: шлюз агымды ичтен сыртка которуп, кайра ичке жөнөтөт. Иштеген жерде кардар өзгөртүүсү талап кылынбайт, ал эми иштебеген жерде эч бир кардар жөндөөсү аны куткарбайт. Аны маршрутизатордун функциялар тизмесин окуунун ордуна ички аракет учурунда сервер журналын байкоо менен сынаңыз.
Профилди жеке дарекке оңдоо — диагностика, дизайн эмес. Ал сервердин LANда жооп берерин далилдейт жана ноутбук үйдөн чыккан учурда ошол эле профилди бузат.
| Approach | What it depends on | Where it fails |
|---|---|---|
| Split-horizon name | Control of the internal DNS answer | Clients that resolve through a server outside the zone |
| Router reflection | Gateway support for hairpin translation | Routers that drop the flow silently |
| Private address in the profile | Nothing beyond the LAN | Every network except the one at home |
Профилди үйдөн алыс жерде колдонууга жарактуу кармаңыз
Кайсы жолду тандасаңыз да, инсандык текшерүүнү тынч калтырыңыз. Акыркы чекит дареги peer инсандыгы эмес, ал эми дарек өзгөрүүсү кокустан жооп берген байланышсыз ачык ачкычты кабыл алууну эч качан актабайт. WireGuard ачкыч аркылуу аутентификациялайт, ошондуктан туура эмес хост күтүлбөгөн нерсеге кирүү берүүнүн ордуна кол алышууда ийгиликсиз болот.
Эгер ачык дарек жылса, аталышты пайдалуу кармаган нерсе — динамикалык DNS, ал эми кардардын жаңыртуу жүрүм-туруму өзгөрүүнүн канчалык тез жетээрин чечет. Муну дарек өзгөргөндөн кийин сырттан сынаңыз, анткени LAN учуру аны тастыктай албайт. Эски жоопту жазуунун жашоо мөөнөтүнөн узак кэштеген чечүүчүгө көңүл буруңуз. Али да мурунку дарекке багыттап турган аталыш кулаган серверге так окшош.
Профиль кайсы аталышты колдонорун жана чектин ар бир жагында эмнеге чечилерин жазып коюңуз. Эч ким каттабаган маршрутизатор функциясына көз каранды профиль — кийинки прошивка жаңыртуусун күтүп турган колдоо чалуусу. Жазу ошондой эле кийинки адамга ички бузулуу белгилүү hairpin учурубу же жаңы нерсеби экенин айтат.