Zwee WireGuard-Peers deelen e Beräich: wien kritt d'Paket

Zwee Peers lëschten Beräicher op, déi sech beréieren, an den Trafic kënnt beim falschen un. Nichts ass beschiedegt: WireGuard wielt e Peer, andeem et d'Destinatioun mat den agestellte Beräicher vergläicht, an déi spezifeschst Iwwereneestëmmung gewënnt. Ier Dir eppes verbreet, entscheet wéi ee Peer wéi ee Prefix soll besëtzen.

Den längsten Prefix gewënnt bannent WireGuard

All Peer-Andrag bréngt eng Rei vun Destinatiouns-Prefixen mat sech. Wann e Paket an d'Interface gerout gëtt, sicht d'Implementatioun den Andrag mat deem spezifeschsten passenden Prefix — déi selwecht Regel, déi eng Routing-Tabell uwent. Dofir schléit en /24 en /16, deen en enthält, an dee méi schmuelen Peer kritt den Trafic.

Road-Warrior-Setupen benotzen dëst bewosst. Een Peer besëtzt e breeden Beräich fir eng Plaz, an eenzel Hoste ginn mat /32-Andräg ausgeschnidden, déi anere Peers gehéieren. D'Muster funktionéiert, well d'Ausschnëtter méi spezifesch sinn, net wéinst der Reiefolleg.

Schreift d'Eegentum als Tabell vu Prefix a Peer op. Wann zwee Andräg dee selwechte Prefix beschreiwen, dréckt d'Konfiguratioun keng Absicht méi aus, si dréckt eng Course aus.

D'Betribssystem wielt fir d'éischt d'Interface

WireGuard wielt nëmmen tëscht de Peers op enger Interface. Wéi eng Interface d'Paket kritt, entscheet sech méi fréi, duerch d'Routing-Tabell vum Host, an eng zweet Standardroute oder eng al Route kann den Trafic dohinner schécken, wou d'Peer-Lëscht en ni gesäit. Dofir kann eng Diagnos op Peer-Niveau korrekt sinn an trotzdem de Feeler net erklären. Kuckt d'Route fir d'Destinatioun, ier Dir d'Peer-Konfiguratioun liest, well eng Route déi op d'physesch Interface weist, ëmgeet d'ganz Fro.

D'Instrument installéiert normalerweis déi Routen aus de Peer-Beräicher, wat heescht datt eng Ännerung an der Lëscht vun engem Peer Trafic, dee virdru bei engem aneren war, stëllem ëmleede kann. Eng Peer-Ännerung ass dofir eng verkleete Routing-Ännerung. Kuckt béid op eemol un, soss reparéiert Dir ee a briecht deen aneren.

Inkommend Pakete ginn no Quell kontrolléiert

D'Beräichslëscht erfëllt eng duebel Funktioun. Fir erausgeet Trafic wielt si e Peer no Destinatioun, a fir erakommend Trafic autoriséiert si eng Quelladress. En Paket, dee vun enger Adress ausserhalb vun de Beräicher vun deem Peer kënnt, gëtt verworf, ier eng Firewall et gesäit.

Dës Asymmetrie ass liicht ze iwwersinn, wann Dir eng Säit vun der Konfiguratioun liest. E Peer, deen en Ënnersubnet erreeche kann, dierf dofir nach net vun deem Ënnersubnet schécken, an déi zwou Richtunge ginn duerch verschidde Kontrollen duerchgesat.

Enge Quell-Eegentum mécht dëst zu engem Virdeel. Gitt all Peer en /32 fir seng eegen Adress an d'Firewall ënnerdrin huet eng zouverlässeg Quell zum Vergläichen, amplaz vun engem Beräich fir déi ganz Grupp, deen all Member kéint behaapten.

Duplikat Beräicher sinn net Failover

Deem selwechte Prefix zwéi Peers zouweisen schaaft weder e Loadbalancer nach en Ersatzwee. Et gëtt keng Gesondheetskontroll a keng Sessiounsaffinitéit: den Andrag dee gewënnt gëtt duerch déi intern Reiefolleg vun der Implementatioun entscheet, an dat ass kee Kontrakt op deen Dir sollt designen. Wann Dir alternativ Ausgäng braucht, dréckt se do aus, wou d'Auswiel definéiert ass. Eng Routing-Politik, eng Metrik oder e Puer verschidde Prefixen mat engem dokumentéierten Eegentümer fir jiddereen produzéieren Verhalen, dat Dir kënnt viraussoen an testen.

E Beräich verbreeden, fir e Feeler ouni Zesummenhang ze behiewen, ass deen anere gemeinsame Feeler. Et beweegt den Trafic vum Peer ewech, dee funktionéiert huet, an d'Symptom kënnt, ier dat aalt verstan ass.

Verifizéiert d'Auswiel ier Dir ännert

Dräi Kommandoen beäntweren déi dräi Froen an der Reiefolleg. Déi éischt lëscht d'Beräicher op, déi all Peer behaapt. Déi zweet weist, wéi eng Interface den Host fir eng Destinatioun géif benotzen. Déi drëtt weist de Live-Peer-Zoustand, nodeems den Trafic gefloss ass.

wg show wg0 allowed-ips
ip route get 10.66.8.20
wg show wg0
ip rule show

Fëllt se virun an no enger Ännerung aus a vergläicht. Wann d'Route-Ausgab sech geännert huet, awer den Trafic nach ëmmer beim falsche Peer ukënnt, iwwerlappe sech d'Prefixlëschten op eng Manéier, déi Dir nach net opgeschriwwen hutt. Wann d'Route-Ausgab sech net geännert huet, war d'Peer-Konfiguratioun ni dat, wat gefrot gouf.

Notéiert d'Destinatioun, déi gewielt Interface an dee gewielte Peer am Ticket. Genau dës Dräiergrupp mécht eng Iwwerlappung spéider iwwerpréifbar, an si ass vill nëtzlecher wéi en Screenshot vun der Konfiguratioun.