mDNS iwwer WireGuard: dräi Paarten, ier e Peer äntwert
Avahi brauch eng gëeegent Schnittstell, eng Route zu der Grupp an e Peer, deen d'Destinatioun besëtzt. Dräi Paarten, dräi getrennt Kontrollen an keen Ausbreeden.
D'Multicast-Flag op engem WireGuard-Gerät setzen mécht d'Schnittstell gëeegent fir Entdeckungssoftware, an dat ass alles, wat d'Flag mécht. Si seet dem Protokoll net, wou e Gruppepaket soll higoen, an op engem Gerät mat méi Peeren gëtt et keng eenzeg offensichtlech Äntwert. Dräi getrennt Paarte stinn tëscht engem lafenden Daemon an engem entdeckte Service.
Test si an der Rei, well eng ze bestoen näischt iwwer déi nächst seet.
Éischt Paart: d'Flag an d'Politik vum Daemon
En Linux WireGuard-Gerät gëtt als Punkt-zu-Punkt-Verbindung ouni ARP ugeluecht, an et dréit d'Multicast-Flag net standardmäßeg. D'Flag dobäizesetzen ass eng lokal Schnittstellännerung, déi vun deem gemaach gëtt, wat d'Gerät verwalt. Avahi huet seng eege Weltusiicht driwwer, an seng Standardpolitik iwwerspréngt Punkt-zu-Punkt-Schnittstelle komplett. Dofir gëllen zwou onofhängeg Eegeegnungstester, ier sech ee Paket beweegt.
Den Daemon brauch also eng ausdrécklech Entscheedung, net just e lafende Prozess. Zu senge dokumentéierte Kontrollen gehéieren allow-interfaces, deny-interfaces an allow-point-to-point, an déi lescht ass d'Astellung, déi d'Leit iwwersinn.
D'Kontrollen hei drënner mellen d'Flaggen vun der Verbindung, d'Multicast-Route an ob d'Konfiguratioun vum Daemon iwwerhaapt analyséiert gëtt:
ip -d link show wg0
ip route get 224.0.0.251
avahi-daemon --checkEn Daemon, deen erfollegräich gestart ass, huet net onbedéngt Sockets op der Schnittstell opgemaach, déi Iech wichteg ass. Liest seng effektiv Konfiguratioun, amplaz unzehuelen, datt de Servicestatus der Ofdeckung entsprécht.
Zweet Paart: d'Route zu der Grupp
Déi zweet Paart ass gewéinlech Routing. E Paket, dat un 224.0.0.251 adresséiert ass, follegt der Weiderleeungstabel wéi alles anescht, an wann den Tabell et iwwer déi physesch LAN-Schnittstell erausschéckt, ännert keng WireGuard-Konfiguratioun dat. Reparéiert d'éischt d'Route, duerno gëtt de Rescht vun der Enquête méi kuerz. Kuckt, wat de Kernel fir d'Gruppeadress mellt, ier Dir iergendeng Peer-Schlëssel beréiert.
| Observation | Gate it belongs to | What it does not prove |
|---|---|---|
Multicast flag present on wg0 | Interface eligibility | The daemon will use the interface |
Route to the group via wg0 | Forwarding | Any peer will receive it |
| Destination inside a peer's allowed list | Peer selection | That peer's network will answer |
Ouni eng spezifesch Route fällt de Kernel op seng eege Multicast-Behandlung vun der Verbindung zeréck, an dofir gesäit den Standard op engem flaache LAN richteg aus a falsch, soubal dee selwechte Gruppentrafic duerch en Tunnel eraus soll. De Feeler ass vun der Sendersäit aus stëll: d'Ufro geet irgendwouhin, an d'Äntwert kënnt ni un.
Drëtt Paart: WireGuard wielt ee Peer pro Paket
WireGuard wielt en ausgängleche Peer, andeems et d'Destinatioun an den erlaabten Adresssätz sicht, an de Linux-Sendewee mécht dës Sich eemol pro Paket. Et gëtt ee Resultat, an de Paket gëtt fir dee Peer verschlësselt. Dee selwechte Gruppenprefix an den erlaabten Lëschte vu méi Peeren erstellt keng Memberschaft an och keng Replikatioun; en erstellt eng zweedeiteg Sich, déi op ee vun hinnen opgeléist gëtt.
Op enger gewidmeter Verbindung mat zwou Endpunkten ass dat genee wat Dir wëllt, well et ee virgesinn Empfänger fir de bewosst transportéierte Gruppentrafic gëtt. Op enger Schnittstell mat fënnef Peeren ass et eng Aschränkung, keng Funktioun, an d'Korrektur gehéiert an den Design an net an d'Konfiguratioun vun engem eenzege Peer.
En Design mat Ausbreeden brauch en ausdrécklecht Relay, getrennt Verbindungen oder en ganz aneren Entdeckungsmechanismus. En Zwee-Endpunkt-Rezept als Méi-Client-Léisung ze verëffentlechen, well all Client de Gateway ka pingen, ass de Wee, wéi dat falsch agesat gëtt.
D'Richtung erab gëtt anescht kontrolléiert: d'Quell vun engem empfaangene Paket muss an der erlaabter Lëscht vum authentifizéierte Peer leien. Eng Multicast-Destinatioun do dobäizesetzen ersetzt net déi tatsächlech Quellenbesëtzung vum Sender.
Reflexioun ass eng Grenz, keng Bréck
De Reflektor vum Avahi reproduzéiert mDNS-Noriichten tëscht de Schnittstellen, déi en auswielt, op der Applikatiounsschicht. Et ass eng Entdeckungsgrenz tëscht Netzwierker, keng Ethernet-Bréck an och keen allgemenge Multicast-Router. Zwee Reflektoren, déi un déi selwecht Netzwierker ugeschloss sinn, erstellen gär eng Schlauf vun erëmholten Ukënnegungen.
D'Reflexioun iwwergëtt och Servicenimm an hir Metadaten un en anert Netzwierk, wat eng Privatsphär-Entscheedung ass souwéi eng Routing-Entscheedung. Beschränkt déi ausgewielt Schnittstellen, a benotzt Servicefilter, wou déi installéiert Versioun se ënnerstëtzt, sou datt nëmmen d'Ukënnegungen, déi en autoriséierte Benotzer brauch, d'Grenz iwwerschreiden.
Entdeckung a Benotzung bleiwen getrennt Resultater. E Client ka matkréien, wéi ee Service ugekënnegt gëtt, deem seng ugekënnegt Adress vun där Plaz aus, wou de Client sëtzt, net erreechbar ass, oder deem säi Port seng Zougangspolitik refuséiert. Confirméiert d'Serviceverbindung, nodeems d'Ukënnegung erschéngt, a wann d'Applikatioun en stabelen DNS-Numm oder eng ausdrécklech Serveradress ënnerstëtzt, bevorzugt dat amplaz d'Link-Local-Entdeckung ze erweideren. D'Beschreiwung vum Kryptoschlëssel-Routing deckt d'destinatiounsbaséiert Peer-Auswiel of, op där dat alles berout.