Divi WireGuard peeri dala diapazonu: kurš saņem paketi

Divi peeri uzskaita diapazonus, kas saskaras, un trafiks nonāk pie nepareizā. Nekas nav sabojāts: WireGuard izvēlas peer, salīdzinot galamērķi ar konfigurētajiem diapazoniem, un uzvar visprecīzākā atbilstība. Pirms kaut ko paplašināt, izlemiet, kuram peeram jāpieder kuram prefiksam.

Garākais prefikss uzvar WireGuard iekšienē

Katrs peer ieraksts nes galamērķa prefiksu kopu. Kad pakete tiek maršrutēta uz saskarni, implementācija meklē ierakstu ar visprecīzāko atbilstošo prefiksu — to pašu noteikumu, ko piemēro maršrutēšanas tabula. Tāpēc /24 pārspēj /16, kas to ietver, un šaurākais peer saņem trafiku.

Road-warrior iestatījumi to izmanto apzināti. Viens peer pārvalda plašu diapazonu vietnei, un atsevišķi hosti tiek izdalīti ar /32 ierakstiem, kas pieder citiem peeriem. Modelis darbojas tāpēc, ka izdalījumi ir precīzāki, nevis kārtas dēļ.

Pierakstiet īpašumtiesības kā prefiksa un peer tabulu. Ja divi ieraksti apraksta vienu un to pašu prefiksu, konfigurācija vairs neizsaka nodomu, tā izsaka sacensības.

Operētājsistēma vispirms izvēlas saskarni

WireGuard izvēlas tikai starp vienas saskarnes peeriem. Kura saskarne saņems paketi, tiek izlemts agrāk, hosta maršrutēšanas tabulā, un otrs noklusējuma maršruts vai novecojis maršruts var nosūtīt trafiku tur, kur peer saraksts to nekad neredz. Tāpēc peer līmeņa diagnoze var būt pareiza un tomēr neizskaidrot kļūmi. Pārbaudiet maršrutu uz galamērķi pirms peer konfigurācijas lasīšanas, jo maršruts, kas norāda uz fizisko saskarni, apiet visu jautājumu.

Rīks parasti instalē šos maršrutus no peer diapazoniem, kas nozīmē, ka izmaiņas viena peera sarakstā var klusi pārvirzīt trafiku, kas iepriekš piederēja citam. Tāpēc peera rediģēšana ir pārģērbta maršrutēšanas izmaiņa. Pārskatiet abus reizē, citādi salabosiet vienu un salauzīsiet otru.

Ienākošās paketes tiek pārbaudītas pēc avota

Diapazonu saraksts veic divējādu lomu. Izejošajam trafikam tas izvēlas peer pēc galamērķa, bet ienākošajam trafikam tas autorizē avota adresi. Pakete, kas ierodas no adreses ārpus šī peera diapazoniem, tiek izmesta, pirms to ierauga jebkurš ugunsmūris.

Šo asimetriju ir viegli palaist garām, lasot vienu konfigurācijas pusi. Peers, kas var sasniegt apakštīklu, ar to vien nav tiesīgs sūtīt no šī apakštīkla, un abus virzienus nodrošina dažādas pārbaudes.

Šaura avota īpašumtiesības to pārvērš priekšrocībā. Dodiet katram peeram /32 tā paša adresei, un zemāk esošajam ugunsmūrim būs uzticams avots, ar ko salīdzināt, nevis visas grupas diapazons, uz kuru varētu pretendēt jebkurš dalībnieks.

Dublēti diapazoni nav failover

Viena un tā paša prefiksa piešķiršana diviem peeriem nerada slodzes balansētāju vai rezerves ceļu. Nav veselības pārbaudes un nav sesijas piesaistes: uzvarējušo ierakstu nosaka implementācijas iekšējā kārtība, un tas nav līgums, pēc kura būtu jāprojektē. Ja nepieciešamas alternatīvas izejas, izsakiet tās tur, kur atlase ir definēta. Maršrutēšanas politika, metrika vai pāris atšķirīgu prefiksu, katram ar dokumentētu īpašnieku, rada uzvedību, ko varat paredzēt un pārbaudīt.

Diapazona paplašināšana, lai labotu nesaistītu kļūmi, ir otra izplatītā kļūda. Tā aizvāc trafiku no peera, kas strādāja, un jaunais simptoms parādās, pirms vecais ir saprasts.

Pirms rediģēšanas pārbaudiet atlasi

Trīs komandas pēc kārtas atbild uz trim jautājumiem. Pirmā uzskaita diapazonus, ko pieprasa katrs peers. Otrā parāda, kuru saskarni hosts izmantotu galamērķim. Trešā parāda peeru dzīvo stāvokli pēc tam, kad trafiks ir izplūdis.

wg show wg0 allowed-ips
ip route get 10.66.8.20
wg show wg0
ip rule show

Palaidiet tās pirms un pēc izmaiņām un salīdziniet. Ja maršruta izvade ir mainījusies, bet trafiks joprojām nonāk pie nepareizā peera, prefiksu saraksti pārklājas tā, kā vēl neesat pierakstījis. Ja maršruta izvade nav mainījusies, peera konfigurācija nekad nebija tas, kas tika vaicāts.

Ierakstiet biļetē galamērķi, izvēlēto saskarni un izvēlēto peeru. Tieši šis trijnieks padara pārklāšanos vēlāk pārskatāmu, un tas ir daudz noderīgāks par konfigurācijas ekrānuzņēmumu.