WireGuard: zwou hallef Strecken géint 0.0.0.0/0 am wg-quick

Zwou /1-Präfixe decken genau déi selwecht IPv4-Adressen of wéi eng eenzeg /0, an déi Gläichheet gëllt nëmmen innerhalb vun der Lëscht vun erlaabte Präfixe vum Peer. Si hält op ze gëllen an deem Abléck, an deem den Agrichtungsinstrument decidéiert wéi geroutet gëtt, well Linux wg-quick en Default-Präfix als Spezialfall behandelt an net als Arithmetik. Déi speziell Branche installéiert eng eegen Tabell, zwou Politikregelen, eng Socket-Mark an Astellunge fir de Ëmwee, déi eng Puer hallef Strecken ni kritt. Wann also e Proxy oder e Browser no der Ännerung ophält ze funktionéieren, sinn d'Präfixen den onintressantsten Deel vun der Ännerung.

D'Präfixlëscht ass net déi ganz Konfiguratioun

AllowedIPs mécht zwou Aarbechten op eemol, an nëmmen eng dovun ass iwwer d'Ofdeckung. Fir WireGuard selwer ass d'Lëscht Kryptoschlëssel-Routing: si decidéiert wéi eng Destinatiounen Richtung Peer verschlësselt ginn a wéi eng Quelladressen dee Peer benotze kann. Fir wg-quick déngt déiselwecht Lëscht och als Streckespezifikatioun, an d'Streck, déi se produzéiert, hänkt dovun of, wéi eng Branche d'Lëscht zoufälleg entsprécht. Identesch Ofdeckung bei zwou verschiddene Lëschtformen seet dofir näischt iwwer en identeschen Hostzoustand aus.

D'Default-Konfiguratioun hëlt déi Entscheidung aus Ären Hänn, well Table standardméisseg automatesch ass an den Instrument aussucht wou d'Strecke landen. En aneren Netzwierkmanager, e Verpackungs-Wrapper oder en eegene Table-Wäert ännert d'Resultat nach eng Kéier, dofir kann en Tipp, deen fir een Host geschriwwe gouf, um nächsten falsch ausgesinn.

Wat déi default Branche iwwer eng Streck eraus bäisetzt

En /0-Entrée schéckt wg-quick a säi Default-Streckepadd: eng separat Routingstabell kritt den Default, eng Politikregel schéckt onmarkéierten Trafic dohin, eng zweet Regel hält méi spezifesch Strecke vun der Haapttabell autoritativ, an den Interface kritt eng Firewall-Mark op sengem eegene Socket. Déi Mark ass de Schleifenhüter. Déi verschlësselt Datagramme mat Tunneltrafic ginn eraus mat gesater Mark, sou datt d'Regel, déi alles anert an den Tunnel schéckt, net dem Tunnel seng eege Transportpakete schléckt.

Eng Puer /1-Entréeë hëlt amplaz de gewéinleche Streckepadd. Zwou Strecke landen an der konfiguréierter Tabell, an näischt vun der Ëmgéigendmaschinnerschaf erscheint, net well se iwwerflësseg ass, mä well dee Codepadd ni betruede gouf.

Wou déi zwou Arrangementer ausernee geoen

D'Divergenz weist sech als éischt als Rekursioun. Mat deene hallef Strecken an der Haapttabell fält dem Peer seng eege Transportadress an e Tunnelspräfix, sou datt de Pak, deen den Tunnel solle droen, op eng Streck passt, déi an den Tunnel eräin zeigt. Eppes muss hien aushuelen: eng Hoststreck fir den aktuelle Endpunkt, eng Mark déi vun Hand ugesat gouf oder eng interfacespezifesch Regel. Eng Hoststreck fonctionéiert bis sech d'Endpunktsadress ännert, wat bei DNS-baséierten Endpunkten, wanderende Cliente a Konfiguratiounen mat méi Peers geschitt.

Zweetens ännert alles, wat iwwer Marke raisonéiert, säi Verhalen. En transparente Proxy, dee Verbindungen lokal ëmleet, mécht nei Sockets, deenen hir Marken an Urspréng sech vum urspréngleche Clientflux ënnerscheeden, an d'Politikregele vun der default Branche waren Deel vum Saach, déi déi Flëss sortéiert huet. Dem Proxy seng eege ausgängend Verbindung liesen ass eng aner Übung wéi ze testen, ob déi ursprénglech Destinatioun erreechbar ass.

Liest d'Regelen an d'Marken ier Dir ännert

Hält den aktuelle Zoustand fest, soulaang den Tunnel gesond ass, duerno nach eng Kéier no der Ännerung, a vergläicht déi zwou Ausgaben, amplaz aus der Konfiguratiounsdatei ze schléissen. Huet d'Politikregelen, all Tabell, dem Interface seng Mark an déi opgezeechent Endpunkten dobäi.

ip rule show
ip -4 route show table all | grep -E 'default|wg1'
wg show wg1 fwmark
wg show wg1 endpoints

Wann déi éischt Ausgabzeil d'Regel fir onmarkéierten Trafic verluer huet an déi eegen Tabell eidel ass, leeft déi default Branche net, an keng Präfixarithmetik stellt hir Wierkungen erëm hier. Eng Mark vun null op engem Interface, dat virdru eng gedroen huet, ass dat selwecht Signal, siichtbar an engem eenzege Wäert.

Übt den Tunnelverloscht ier Dir ausrollt

Wann d'Layout mat hallef Strecken déi bewosst Wiel ass, muss et déi fehlend Deeler ausdrécklech liwweren: en Endpunktspadd, deen Adressännerungen iwwersteet, dat ugeduecht Verhalen wann den Tunnel fält, an déi gläichwäerteg Behandlung fir IPv6. Schreift dat als Ufuerderungen op, amplaz et während enger Stéierung ze entdecken. Übt duerno de Feeler, well en duerchgezunnene Tunnel, dee stënterlech op den physikaleschen Uplink zeréckfält, ass méi schlëmm wéi een, deen ophält ze funktionéieren.

sudo ip -4 route add 198.51.100.20/32 via 192.0.2.1 dev eth0
ip -4 route get 198.51.100.20
sudo wg-quick down wg1

D'Streckesich sollt den Endpunkt aus dem physikaleschen Interface léisen, ouni den Tunnel ze duerchqueren, an den Interface erofzebréngen sollt den Host an deem Zoustand loossen, deen den Design versprach huet. En Proxy, dee no der Auswiesselung funktionéiert, beweist, datt de generéierten Hostzoustand wichteg war; hien beweist net, datt d'Schleifverhënnerung an d'Verhalen am erofgesaten Zoustand d'Ännerung iwwerlieft hunn.