Гар барилт ажиллаж, хаяг алга болов: WireGuard-ын гурван төлөв
Шинэ гар барилт нь хамтрагч хариулсныг нотолдог бөгөөд интерфэйс хаягаа хадгалж байгаа эсвэл дараагийн пакет зориулсан дээд сувгаар гарахыг биш.
WireGuard нэгэн зэрэг шинэ гар барилттай байж, хаяггүй байж болох бөгөөд энэ төлөв зөрчилтэй биш, уялдаатай. Гар барилт бол хамтрагчийн үйл явдал, хаяг интерфэйст хамаарна, маршрут нь пакет аль дээд сувгаар гарахыг шийднэ. Гурван давхарга, гурван эзэн, бусад хоёр нь эрүүл харагдаж байхад ч тус бүр нь бүтэлгүйтэж болно.
Тэдгээрийг нэг статус гэж унших нь хоёр минутын диагнозыг үйлчилгээг дахин эхлүүлэхэд зарцуулагдсан бүтэн үдээс хойш болгодог.
Гар барилт бол хамтрагчийн үйл явдал, хаяг олгох үйл явдал биш
WireGuard-ын гар барилт нь тохируулсан хамтрагч хүчинтэй түлхүүрээр хариулсан, сессийн түлхүүрүүд нь одоогийн гэдгийг нотолдог. Энэ нь интерфэйс дээрх локал хаягийн талаар юу ч хэлэхгүй, түүнчлэн ямар нэг маршрут тийшээ зааж байгаа эсэхийг ч хэлэхгүй. Хаягийг туслах эсвэл сүлжээний менежер оноодог бол протоколын тохиргоо зөвхөн хамтрагч, түлхүүрүүдийн нэрийг дурддаг. Энэ хоёрыг андуурах нь эрүүл гар барилтыг ажиллаж буй туннель гэж уншихад хүргэдэг.
Тиймээс wg show аппликейшнээс нэг ч пакет авч чадахгүй интерфэйс дээр хэдхэн секундын гар барилтыг мэдээлж чадна.
Интерфэйсийг дахин үүсгэдэг менежер хамтрагчийн тохиргоог хөндөхгүйгээр хаягийг унагаж болох бөгөөд түлхүүрүүд хэзээ ч өөрчлөгдөөгүй тул дараагийн гар барилт шууд амжилттай болно. Амжилттай гар барилтын тухай логын мөр нь зөв бөгөөд гэмтэлтэй холбоогүй.
| Observation | Which layer it belongs to | Wrong conclusion it invites |
|---|---|---|
| Handshake a few seconds old | Peer and keys | The tunnel is usable for application traffic |
Address present on wg0 | Interface configuration | Traffic actually egresses through it |
Route points at wg0 | Forwarding table | The outer packet uses the intended uplink |
Интерфэйсийн хаяг өөрийн гэсэн эзэнтэй
Туннелийн төхөөрөмж дээрх хаяг нь туслахын Address мөрнөөс, интерфэйс дээр ажиллаж буй DHCP клиентээс, эсвэл холбогдох үед үүсгэдэг удирдлагын демоноос ирж болно. Аль ч байсан, тэр бүрэлдэхүүн хаягийг эзэмшиж, өөрийн логикоор сэргээх эсвэл сэргээхгүй. Хаягийг эзнийг нь нэрлэхгүйгээр унших нь яагаад алга болсныг тайлбарлаж чадахгүй болгоно.
Нэг интерфэйс дээр хоёр эзэн байх нь сонгодог гэмтэл. Нэг төхөөрөмж дээр туслах болон ширээний сүлжээний менежерийг зэрэг эхлүүлэх нь нэг нь нөгөөгийн саяхан тохируулсан зүйлийг устгах уралдаан үүсгэж, төгсгөлийн цэг бүх хугацаанд хариулсаар байна.
Нэг эзнийг сонгож, нөгөө хэрэгслийг удирдахын оронд ажиглахыг зөвшөөр. Энэ шийдвэрийг бичиж үлдээх нь зүйтэй, учир нь шинж тэмдэг хэдэн долоо хоногийн дараа гарч, хаяг санамсаргүй алдагдсан мэт харагдана.
Дээд сувгийг маршрут сонгоно, интерфэйс биш
wg0 рүү заасан дотоод маршрут трафик туннельд ордог гэдгийг шийднэ. Тусдаа шийдвэр шифрлэгдсэн гадаад пакетуудыг хамтрагч руу илгээдэг бөгөөд хэд хэдэн дээд сувагтай хост дээр тэр шийдвэр дамжуулах хүснэгт болон бодлогын дүрмээс ирдэг. Wi-Fi роуминг дотоод хаягийг хөндөхгүйгээр гадаад замыг өөрчилж чадна.
Тэгэхээр ажиллаж буй туннель болон хүрэх боломжгүй хамтрагч нийцэх төлөв бөгөөд зөв хамтрагч, эвдэрсэн дотоод маршрут ч мөн адил. Гурван ажиглалтыг хамт, нэг мөчид авах ёстой, эс бөгөөс харьцуулалт утгагүй.
Гурван төлөвийг нэг гарцад харьцуул
Зөвхөн унших гурван команд нь гурван асуултад гэмтлийг хамгийн хурдан тусгаарлах дарааллаар хариулна. Тэдгээрийн хооронд юу ч өөрчлөхгүйгээр ажиллуул.
ip address show dev wg0
ip route get 10.80.0.1
wg show wg0 latest-handshakes transferЭхнийх нь интерфэйс хаягтай эсэхийг, хоёр дахь нь тодорхой очих газрыг одоо аль төхөөрөмж ашиглахыг харуулна. Гурав дахь нь сүүлийн гар барилтын цаг болон байт тоолуурыг мэдээлдэг бөгөөд гурваас локал хост биш, хамтрагчийг дүрсэлдэг цорын ганц нь юм.
Тоолуурыг ч, цагийн тэмдгийг ч унш. Дамжуулалт тэгш байхад гар барилт байнга шинэчлэгдэж байгаа нь хамтрагч хариулж байгаа ч хэрэгтэй зүйл нэвтрэхгүй байгааг илэрхийлнэ, энэ нь түлхүүр биш маршрут эсвэл ACL руу заана. Хаяг байхад цагийн тэмдэг урагшлахаа болих нь харин дээшээ заана. Хоёр уншилт нэг л гаралтын мөрнөөс ирдэг бөгөөд гар барилт байгаа эсэхийг л шалгавал аль нь ч харагдахгүй.
Буруу байгаа тодорхой төлөвийг засаж, дараа нь туннель биш аппликейшныг дахин шалга. Шинэ гар барилт бол хамтрагчийн тухай нотолгоо бөгөөд хамтрагчийн тухай нотолгоо нь таны хөтчийн дараагийн хүсэлт хаяг, маршрут, ажиллаж буй дээд суваг олно гэсэн нотолгоо биш. wg-quick гарын авлага тэдгээрийн алийг нь туслах тохируулж, аль нь протоколд хамаарахыг тодорхой хэлдэг.