AllowedIPs ഒരു റൂട്ടിംഗ് പട്ടികയാണ്, ഫയർവാൾ നിയമമല്ല

മിക്ക ആളുകളും AllowedIPs-നെ അനുമതി പട്ടികയായി വായിക്കുന്നു, അതായത് ഒരു പിയറുമായി ബന്ധിപ്പിക്കാൻ കഴിയുന്ന വിലാസങ്ങളുടെ കൂട്ടം, ഏതാണ്ട് ഒരു ടണലിനായി എഴുതിയ ഫയർവാൾ നിയമം പോലെ. അങ്ങനെയല്ല. ഈ ഫീൽഡ് ഇരുവശത്തും പ്രവർത്തിക്കുന്ന റൂട്ടിംഗ് പട്ടികയാണ്: പുറത്തേക്കുള്ള പാക്കറ്റിന് പിയർ തിരഞ്ഞെടുക്കുന്നു, അകത്തേക്കുള്ള പാക്കറ്റിന്റെ ഉറവിടം പരിശോധിക്കുന്നു. ഇതിനെ ആക്സസ് പട്ടികയായി വായിക്കുന്നത് ആരും ആവശ്യപ്പെടാത്ത ട്രാഫിക് റൂട്ട് ചെയ്യുന്ന ക്രമീകരണങ്ങൾ സൃഷ്ടിക്കുന്നു.

ഒരു ഫീൽഡ്, രണ്ട് വായനക്കാർ: പുറത്തേക്കുള്ള തിരഞ്ഞെടുപ്പും ഉറവിട പരിശോധനയും

ക്ലൈന്റിൽ, ഏത് ലക്ഷ്യങ്ങൾ ആ പിയറിലേക്ക് പോകുന്നു, ഏതൊക്കെ സാധാരണ നെറ്റ്വർക്കിൽ തുടരുന്നു എന്ന് പ്രിഫിക്സുകൾ തീരുമാനിക്കുന്നു. അതിനാൽ 0.0.0.0/0-നുള്ള എൻട്രി എല്ലാ IPv4 ലക്ഷ്യങ്ങളെയും പിടിക്കുന്നു, അതുകൊണ്ടാണ് പൂർണ്ണ ടണൽ പ്രൊഫൈൽ ഇംപോർട്ട് ചെയ്യുമ്പോൾ സാധാരണ ബ്രൗസിംഗ് വിദൂര യന്ത്രത്തിലൂടെ പോകുന്നത്. ഇടുങ്ങിയ എൻട്രികൾ നേരെ വിപരീതം ചെയ്യുന്നു: നിങ്ങൾ പട്ടികപ്പെടുത്തിയ നെറ്റ്വർക്കുകൾ മാത്രം റൂട്ട് ചെയ്ത് ബാക്കിയെല്ലാം ഉണ്ടായിരുന്നിടത്ത് വിടുന്നു. WireGuard ഡോക്യുമെന്റേഷനിലെ ക്രിപ്റ്റോകീ റൂട്ടിംഗ് വിഭാഗം രണ്ട് ജോലികളും ഒരിടത്ത് പറയുന്നു: പുറത്തേക്കുള്ള പിയർ തിരഞ്ഞെടുപ്പും അകത്തേക്കുള്ള ഉറവിട പരിശോധനയും.

സെർവറിൽ, അതേ ഫീൽഡ് ഓരോ പിയറിനും ഉപയോഗിക്കാവുന്ന ഉറവിട വിലാസങ്ങൾ വിവരിക്കുന്നു. ഇത് പാക്കറ്റ് ഫിൽട്ടറല്ല, ക്രിപ്റ്റോഗ്രാഫിക് പരിശോധനയാണ്: ആന്തരിക ഉറവിടം പിയറിന്റെ പട്ടികയുമായി പൊരുത്തപ്പെടാത്ത പാക്കറ്റ്, ഹോസ്റ്റിലെ ഏതെങ്കിലും ഫയർവാൾ അത് കാണുന്നതിന് മുമ്പ് WireGuard-നുള്ളിൽ ഉപേക്ഷിക്കപ്പെടുന്നു. രണ്ട് ജോലികളും ഒരു പട്ടിക പങ്കിടുന്നു, അതുകൊണ്ടാണ് മറ്റെവിടെനിന്നോ പകർത്തിയ പട്ടിക നിങ്ങൾ പരിഗണിക്കാത്ത ഒരിടത്ത് തെറ്റായി പെരുമാറുന്നത്.

ഈ ആശയക്കുഴപ്പത്തിന്റെ ഭൂരിഭാഗവും തുടങ്ങുന്നത് ക്ലൈന്റ് ബ്ലോക്കിലാണ്. സ്പ്ലിറ്റ് ടണൽ വിദൂര നെറ്റ്വർക്കുകളെ പേരിടുന്നു, പൂർണ്ണ ടണൽ അതേ ഫീൽഡിൽ ഒരു ഡിഫോൾട്ട് പ്രിഫിക്സ് ഉള്ളതാണ്:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

രണ്ട് രൂപങ്ങളും സ്വയം പൂർണ്ണമാണ്, അവ ഘട്ടങ്ങളല്ല, ബദലുകളാണ്. ആദ്യത്തേത് ആ രണ്ട് നെറ്റ്വർക്കുകൾ മാത്രം ടണലിലൂടെ അയയ്ക്കുന്നു; രണ്ടാമത്തേത് എല്ലാ ലക്ഷ്യങ്ങളും അയയ്ക്കുന്നു, ::/0 എൻട്രി IPv4 ഡിഫോൾട്ടിലേക്ക് IPv6 ചേർക്കുന്നു. ഏത് തിരഞ്ഞെടുത്താലും, wg-quick റൂട്ടുകൾ ഇൻസ്റ്റാൾ ചെയ്യാൻ തുടങ്ങുമ്പോൾ ആ പ്രിഫിക്സുകളാണ് ആ പിയറിന്റെ മുഴുവൻ റൂട്ടിംഗ് തീരുമാനം.

ഹബ്ബിന് വേറെ പട്ടിക വേണം

ഹബ് ഓരോ ക്ലൈന്റിന്റെയും ടണൽ വിലാസം ഹോസ്റ്റ് പ്രിഫിക്സായി പട്ടികപ്പെടുത്തുന്നു, കൂടാതെ ആ ക്ലൈന്റിന് പിന്നിൽ യഥാർത്ഥത്തിൽ ഉള്ള ഏത് നെറ്റ്വർക്കും. ഒരു ക്ലൈന്റിന്റെ വിശാലമായ പട്ടിക ഓരോ ഹബ് പിയറിലേക്കും പകർത്തുന്നത്, പല പിയറുകൾക്കും ഒരേ വിലാസങ്ങൾ ഉറവിടമായി ഉപയോഗിക്കാമെന്ന് ഹബ്ബിനോട് പറയുന്നു, അത് ഒരു വിലാസ പ്ലാനല്ല. Endpoint ഫീൽഡ് തികച്ചും വേറെ ഒരു പാളിയിൽ പെടുന്നു: അത് പിയറിന്റെ പുറം വിലാസവും പോർട്ടും പേരിടുന്നു, ഒരിക്കലും ടണലിനുള്ളിലെ ഒരു ലക്ഷ്യത്തെയല്ല.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

ഹോസ്റ്റ് പ്രിഫിക്സ് ടണൽ വിലാസം വഹിക്കുന്നു, നെറ്റ്വർക്ക് പ്രിഫിക്സ് ക്ലൈന്റിന് പിന്നിലുള്ളത് വഹിക്കുന്നു, രണ്ടും ആവശ്യമാണ്. ഹോസ്റ്റ് പ്രിഫിക്സ് ഇല്ലാതെ ഹബ്ബിന് ക്ലൈന്റിന്റെ സ്വന്തം ട്രാഫിക് തിരികെ അയയ്ക്കാനാവില്ല, നെറ്റ്വർക്ക് പ്രിഫിക്സ് ഇല്ലാതെ അതിന് പിന്നിലെ LAN അപ്രാപ്യമായി തുടരുന്നു; പിന്നിൽ ഒന്നുമില്ലാത്ത ഒരു പിയറിന് ഹോസ്റ്റ് പ്രിഫിക്സ് മാത്രം ലഭിക്കുന്നു.

റൂട്ട് ഇൻസ്റ്റലേഷൻ ഒഴിവാക്കുന്നത് ഒരു വിടവ് വിടുന്നു

wg-quick, കോൺഫിഗറേഷൻ ഫയലിൽ നിന്ന് ഇന്റർഫേസ് ഉയർത്തുന്ന സഹായി, ആ ജോലിയുടെ ഭാഗമായി ഇന്റർഫേസ് വിലാസങ്ങളും റൂട്ടുകളും ഇൻസ്റ്റാൾ ചെയ്യുന്നു. Table = off സജ്ജീകരിക്കുന്നത് സഹായിയോട് റൂട്ട് ജോലി ഒഴിവാക്കാൻ പറയുന്നു, അത് പകരങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്യുന്നില്ല, സ്വകാര്യ നെറ്റ്വർക്ക് പ്രാപ്യമാക്കുന്നുമില്ല. ഓട്ടോമാറ്റിക് റൂട്ടുകൾ ജോലി ചെയ്യുമ്പോൾ, ആവശ്യമായ പ്രിഫിക്സുകൾ പേരിടുന്നതാണ് കൂടുതൽ വ്യക്തമായ കോൺഫിഗറേഷൻ. റൂട്ട് മാനേജ്മെന്റ് ഓഫ് ചെയ്ത് പകരം എഴുതാതെ വിടുന്നത് രൂപകൽപ്പനയല്ല, ഒരു വീഴ്ചയാണ്.

അടിസ്ഥാന wg ഉപകരണം വ്യത്യസ്തമായി പെരുമാറുന്നു: അത് ഇന്റർഫേസ് കോൺഫിഗർ ചെയ്യുന്നു, റൂട്ടുകളെ ഒരിക്കലും തൊടുന്നില്ല, അതിനാൽ അതിന് മേലെ നേരിട്ട് നിർമ്മിച്ച സെറ്റപ്പിന് സ്വന്തം റൂട്ട് കമാൻഡുകൾ വേണം. ഒരു ഉപകരണത്തിനായി എഴുതിയ നിർദ്ദേശങ്ങൾ മറ്റൊന്നിനൊപ്പം പിന്തുടരുമ്പോൾ തെറ്റായി തോന്നാം. വിജയകരമായ ഒരു ping-ഉം ദുർബലമായ തെളിവാണ്, കാരണം അത് നിങ്ങൾക്ക് ആവശ്യമായ എല്ലാ അപ്ലിക്കേഷൻ പാതയെയല്ല, ഒരു പാതയെ മാത്രം പരിശോധിക്കുന്നു.

DNS-ഉം IPv6-ഉം വെവ്വേറെ തീരുമാനിക്കുന്നു

ടണൽ പ്രഖ്യാപിക്കുന്ന DNS സെർവർ വിലാസം പരിശോധിക്കുക, നിങ്ങൾ തിരഞ്ഞെടുത്ത പ്രിഫിക്സുകളിലൂടെ ആ വിലാസത്തിലേക്ക് ഒരു റൂട്ട് ഉണ്ടെന്ന് ഉറപ്പാക്കുക. റിസോൾവർ ക്രമീകരണം റിസോൾവറിനെ പ്രാപ്യമാക്കുന്നില്ല, ടണൽ ഇടുങ്ങിയതാക്കുന്നത് അങ്ങോട്ടുള്ള റൂട്ട് നിശ്ശബ്ദമായി നീക്കം ചെയ്തേക്കാം. IPv6-ഉം വെവ്വേറെ പരിശോധിക്കുക, കാരണം ശരിയായ IPv4 വിഭജനം ഇപ്പോഴും ഭൗതിക ലിങ്കിലേക്ക് ചൂണ്ടുന്ന IPv6 ഡിഫോൾട്ട് റൂട്ടിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. ഒരു പിയർ ബ്ലോക്ക് തിരുത്തുമ്പോൾ മൂന്ന് വെവ്വേറെ തീരുമാനങ്ങൾ ഒരുമിച്ച് മാറാം.

തുടർന്ന് അറിയപ്പെടുന്ന ഒരു പ്രാരംഭ കോൺഫിഗറേഷനിൽ നിന്ന് ഒരു സ്വകാര്യ റിസോഴ്സും ഒരു സാധാരണ വെബ്സൈറ്റും തുറക്കുക. റിസോഴ്സ് മറുപടി നൽകുകയും ബ്രൗസിംഗ് ഇപ്പോഴും ലോക്കൽ കണക്ഷനിലൂടെ പുറത്തുപോകുകയും ചെയ്താൽ, സ്പ്ലിറ്റ് നിങ്ങൾ ആവശ്യപ്പെട്ടത് ചെയ്യുന്നു. അതേ നിമിഷം ബ്രൗസിംഗ് തകർന്നാൽ, ടണൽ ഡിഫോൾട്ട് റൂട്ട് എടുത്തു, പ്രിഫിക്സ് പട്ടികയാണ് നോക്കേണ്ട സ്ഥലം.