mDNS WireGuard дээр: хамтрагч хариу өгөхөөс өмнөх гурван хаалга
Avahi-д тохирох интерфэйс, бүлэг рүү хүрэх зам, очих газрыг эзэмшдэг хамтрагч хэрэгтэй. Гурван хаалга, гурван тусдаа шалгалт, ямар ч тархалтгүй.
WireGuard төхөөрөмж дээр multicast тугыг тохируулах нь интерфэйсийг илрүүлэх програмуудад тохирох болгодог бөгөөд тугны үйлдэл үүгээр дуусна. Энэ нь протоколд бүлгийн багц хаашаа явах ёстойг хэлдэггүй, олон хамтрагчтай төхөөрөмж дээр нэг ч тодорхой хариулт байхгүй. Ажиллаж буй демон ба илэрсэн үйлчилгээний хооронд гурван тусдаа хаалга зогсож байна.
Тэдгээрийг дарааллаар нь шалгаарай, учир нь нэгийг давах нь дараагийнх тухай юу ч хэлэхгүй.
Эхний хаалга: туг ба демоны бодлого
Linux WireGuard төхөөрөмж нь ARP-гүй цэг-цэг холбоос хэлбэрээр үүсдэг бөгөөд анхдагчаар multicast тугыг агуулдаггүй. Тугыг нэмэх нь төхөөрөмжийг удирдаж буй зүйлээс гүйцэтгэгддэг локал интерфэйсийн өөрчлөлт юм. Avahi үүнээс дээш өөрийн дэлхийн үзэл бодолтой бөгөөд түүний анхдагч бодлого нь цэг-цэг интерфэйсүүдийг бүрмөсөн алгасдаг. Тиймээс нэг ч багц хөдлөхөөс өмнө хоёр бие даасан тохирох байдлын тест хэрэгжинэ.
Тиймээс демонд тодорхой шийдвэр хэрэгтэй, зөвхөн ажиллаж буй процесс биш. Түүний баримтжуулсан удирдлагуудад allow-interfaces, deny-interfaces болон allow-point-to-point багтах бөгөөд сүүлийнх нь хүмүүсийн анзаардаггүй тохиргоо юм.
Доорх шалгалтууд холбоосын тугууд, multicast замыг болон демоны тохиргоо огт задлагдах эсэхийг мэдээлнэ:
ip -d link show wg0
ip route get 224.0.0.251
avahi-daemon --checkАмжилттай эхэлсэн демон таны чухал гэж үзсэн интерфэйс дээр заавал сокет нээсэн байх шаардлагагүй. Үйлчилгээний төлөв нь хамрах хүрээтэй тэнцүү гэж таамаглахын оронд түүний бодит тохиргоог уншина уу.
Хоёр дахь хаалга: бүлэг рүү хүрэх зам
Хоёр дахь хаалга бол энгийн чиглүүлэлт юм. 224.0.0.251 хаяг руу илгээсэн багц бусад бүхний адил дамжуулах хүснэгтийг дагадаг бөгөөд хэрэв хүснэгт түүнийг физик LAN интерфэйсээр гадагш илгээвэл ямар ч WireGuard тохиргоо үүнийг өөрчлөхгүй. Эхлээд замыг засаарай, тэгвэл мөрдөн шалгалтын үлдсэн хэсэг богиносно. Ямар ч хамтрагчийн түлхүүрт хүрэхээс өмнө цөм бүлгийн хаягийн талаар юу мэдээлж байгааг хараарай.
| Observation | Gate it belongs to | What it does not prove |
|---|---|---|
Multicast flag present on wg0 | Interface eligibility | The daemon will use the interface |
Route to the group via wg0 | Forwarding | Any peer will receive it |
| Destination inside a peer's allowed list | Peer selection | That peer's network will answer |
Тодорхой зам байхгүй бол цөм холбоосын өөрийн multicast боловсруулалт руу буцдаг, иймээс анхдагч байдал тэгш LAN дээр зөв харагдаж, мөн бүлгийн урсгал туннелээр гарах ёстой болмогц буруу харагдана. Алдаа нь илгээгчийн талаас чимээгүй байдаг: асуулга хаа нэгтээ явдаг бөгөөд хариулт хэзээ ч ирдэггүй.
Гурав дахь хаалга: WireGuard нэг багцад нэг хамтрагч сонгоно
WireGuard нь зөвшөөрөгдсөн хаягийн олонлогоос очих газрыг хайж гарч буй хамтрагчийг сонгодог бөгөөд Linux-ийн дамжуулах зам тэр хайлтыг багц бүрт нэг удаа гүйцэтгэдэг. Үр дүн нэг бөгөөд багц тэр хамтрагчид зориулж шифрлэгддэг. Ижил бүлгийн угтвар хэд хэдэн хамтрагчийн зөвшөөрөгдсөн жагсаалтад гарч ирэх нь гишүүнчлэл эсвэл хуулбар үүсгэхгүй; энэ нь тэдний нэг дээр шийдэгдэх хоёрдмол утгатай хайлт үүсгэдэг.
Хоёр үзүүртэй тусгай холбоос дээр энэ нь яг таны хүсэж буй зүйл, учир нь санаатайгаар зөөж буй бүлгийн урсгалд нэг л зоригдсон хүлээн авагч байдаг. Таван хамтрагчтай интерфэйс дээр энэ нь хязгаарлалт, онцлог биш бөгөөд засвар нь аль нэг хамтрагчийн тохиргоонд бус, дизайнд хамаарна.
Салбарласан дизайнд тодорхой реле, тусдаа холбоос эсвэл огт өөр илрүүлэх механизм хэрэгтэй. Клиент бүр гарцыг ping хийж чаддаг гэдгээр хоёр үзүүртэй жорыг олон-клиентийн шийдэл болгон нийтлэх нь үүнийг буруу байрлуулах арга юм.
Орж буй чиглэлийг өөрөөр шалгадаг: хүлээн авсан багцын эх сурвалж баталгаажсан хамтрагчийн зөвшөөрөгдсөн жагсаалтын дотор байх ёстой. Тэнд multicast очих газрыг нэмэх нь илгээгчийн бодит эх сурвалжийн эзэмшлийг орлохгүй.
Тусгал бол хил хязгаар, гүүр биш
Avahi-гийн тусгагч нь өөрийн сонгосон интерфэйсүүдийн хооронд mDNS мессежүүдийг програмын түвшинд дахин үйлддэг. Энэ нь сүлжээнүүдийн хоорондын илрүүлэх хил, Ethernet гүүр биш, ерөнхий multicast чиглүүлэгч биш. Нэг сүлжээнд холбогдсон хоёр тусгагч давтагдсан зарлалуудын гогцоог дуртайяа үүсгэнэ.
Тусгал нь үйлчилгээний нэрс болон тэдгээрийн мета өгөгдлийг өөр сүлжээнд шилжүүлдэг бөгөөд энэ нь чиглүүлэлтийн шийдвэр шиг нууцлалын шийдвэр юм. Сонгосон интерфэйсүүдийг хязгаарлаж, суулгасан хувилбар дэмжвэл үйлчилгээний шүүлтүүр ашиглаарай, ингэснээр зөвшөөрөгдсөн хэрэглэгчид шаардлагатай зарлалууд л хил давна.
Илрүүлэлт ба ашиглалт нь тусдаа үр дүн хэвээр байна. Клиент нь зарласан хаяг нь клиент байгаа газраас хүрэхгүй үйлчилгээний эсвэл портыг нь хандалтын бодлого нь татгалздаг үйлчилгээний зарлалыг харж болно. Зарлал гарч ирсний дараа үйлчилгээний холболтыг баталгаажуулж, хэрэв програм нь тогтвортой DNS нэр эсвэл тодорхой серверийн хаягийг дэмждэг бол холбоосын локал илрүүлэлтийг өргөжүүлэхийн оронд түүнийг илүүд үзээрэй. Крипто түлхүүрийн чиглүүлэлтийн тайлбар нь энэ бүхэн тулгуурладаг очих газарт суурилсан хамтрагч сонголтыг хамардаг.