Eng WireGuard-Konfiguratioun Zeil fir Zeil liesen, vum Interface bis zum Peer

Déi meescht futti WireGuard-Konfiguratioune maachen dee Feeler net am Wäert; si setzen de richtege Wäert op déi falsch Säit. E private Schlëssel gehéiert zu dëser Maschinn, e Peer dréit den ëffentleche Schlëssel vun der anerer Maschinn, an eng Adress sëtzt am Interface-Block, obwuel se beschreift wou den Tunnel wunnt. Liest d'Datei als zwou Richtungen déi sech treffen, a kontrolléiert dann wat de Hëllefsskript uewendrop dobäigesat huet. De Protokoll selwer huet manner Felder wéi d'Datei, an déi zousätzlech sinn et wäert getrennt ze kennen.

Interface-Schlëssele beschreiwen dës Maschinn

Den Interface-Block hält déi eege Identitéit vun dësem Endpunkt. PrivateKey ass déi Identitéit an verléisst ni den Host; den entspriechende ëffentleche Schlëssel gëtt doraus ofgeleet an dat ass wat aner Peeren opzielen. ListenPort ass wou dës Säit Handshakes kritt, dofir brauchen zwou Cliente hannert enger Adress verschidde Porten.

Address ass d'Tunneladress op déi dësen Host äntwert, geschriwwe mat enger Präfixlängt well se och d'Quell ass déi hie benotze wäert. De Präfix hei falsch ze hunn ännert wéi eng Destinatiounen den Host als direkt verbonne consideréiert, an dat produzéiert Feeler déi wéi Routing ausgesinn an net wéi Konfiguratioun.

Alles anescht an engem [Interface] Block mat engem richtege Client gëtt normalerweis vum wg-quick dobäigesat: DNS, MTU, Table, an den Hook-Zeilen. Dat sinn net Protokollsfelder, an eng blooss wg Ariichtung ignoréiert se komplett.

All Peer-Andrag beschreift eng aner Säit

[Peer] Block ass déi wäit Säit. PublicKey ass de ofgeleet Schlëssel vun där Säit, ni hiren private Schlëssel, an PresharedKey ass en optionalen zousätzleche Geheimnis deen zwou Säiten identesch musse halen. Endpoint ass wouhi geschéckt gëtt, an PersistentKeepalive freet dësen Host nom Intervall e Pak ze schécken wann soss näischt erausgeet.

Zwee Feeler erklären de gréissten Deel vun der Konfusioun hei. Säin eegene private Schlëssel an e Peer-Block ze kopéieren mécht datt déi zwou Enner eng Identitéit deelen, an den Handshake feelt op eng Manéier déi schlecht geloggt gëtt. Endpoint op engem Client ewechloossen ass meeschtens bewosst, well de Server d'Adress vum erakommenden Handshake léiert; en op engem Server ewechloossen deen unzfänke muss ass et net. Denkt drun datt keepalive eng NAT-Mapping oppen hält, an et verbessert den Duerchgang net an et reduzéiert d'Latenz net, also drësseg Sekonnen zousätzlech Paken kafen näischt wann den Traffic schonn fléisst.

AllowedIPs ass Routing, keng Erlaabnislëscht

AllowedIPs ass WireGuard seng Kryptoschlëssel-Routing. No baussen entscheet en op Basis vum Destinatioun wéi en Peer e Pak kritt. No bannen entscheet en op Basis vun der Quell ob e Pak vun deem Peer ugeholl gëtt. Dat selwecht Feld mécht béid Aufgaben, dofir ass et keng Zougangskontrolllëscht an och keng Lëscht vun erlaabte Websäiten.

En enken AllowedIPs um Server fir e Client heescht de Server hëlt just Paken un déi déi Quelle behaapten an schéckt just déi Destinatiounen un dee Client. Verbreedert eng Säit ouni déi aner, an Dir kritt en Tunnel deen eropkënnt an näischt duerchléisst.

Wat wg-quick ronderëm de Protokoll dobäisetzt

wg-quick liest déi selwecht Datei an erleedegt d'Netzschrëtt déi de Protokoll dem Betribssystem iwwerléisst. Et gëtt dem Interface seng Adress, setzt Routen derbäi déi vum AllowedIPs ofgeleet sinn, schreift d'Astellunge vum Resolver an féiert d'Hook-Kommanden an der Rei aus.

Déi Schicht erkläert déi klassicch Asymmetrie. Eng Datei mat 0.0.0.0/0 an enger DNS Zeil gëtt engem Client eng Standardroute an e Resolver, an et mécht absolut näischt mat de Server sengen Ëmleitungs- oder NAT-Regelen. Déi gehéieren zu der Konfiguratioun vum Server selwer, an keng Client-Datei kann se leeschten.

Halt een Eegentümer fir d'Datei. Se vun Hand änneren wärend SaveConfig ageschalt ass heescht datt deng Ännerung verschwënnt wann den Interface déi nächst Kéier erofgeet, an den Interface wäert dir net soen datt dat geschitt ass.

Kontrolléier den ugewannten Zoustand, net d'Datei

D'Datei ass eng Absicht. Den ugewannten Zoustand ass wat de Kernel hält, an se divergéieren ëmmer wann en Hëllefsmëttel, en Drop-in oder en Hook no der Aktivéierung eppes geännert huet.

Liest den liewegen Zoustand an d'Adresséierung zesummen, a vergläicht dann béides mat deem wat Dir geschriwwen hutt:

sudo wg show
ip -4 addr show dev wg0
ip -4 route show dev wg0
grep -v "^#" /etc/wireguard/wg0.conf

Wann d'Peer-Lëscht eidel ass, gouf den Interface ugeluecht ouni datt seng Konfiguratioun ugewannt gouf. Wann Adresse a Routen existéieren awer d'Zieler op Null bleiwen, gouf d'Datei gelueden an den Handshake feelt, wat e Schlëssel- oder Endpunktproblem ass an net en Uerdnungsproblem vun den Abschnëtter. Vergläicht déi zwou Usiichte virum Änneren, well de Spalt tëschent hinnen ass meeschtens de richtegen Defekt.