Хоёр WireGuard peer нэг мужийг хуваалцана: пакетыг аль нь авдаг вэ
Давхцсан мужууд дарааллаар бус, хамгийн тодорхой префиксээр шийдэгддэг. Ямар нэг зүйлийг өргөтгөхөөс өмнө эхлээд маршрутыг, дараа нь peer жагсаалтыг шалгана уу.
Хоёр peer хүрэлцэх мужуудыг жагсааж, трафик буруу руу нь хүрдэг. Юу ч эвдээгүй: WireGuard очих газрыг тохируулсан мужуудтай тулгаж peer сонгодог бөгөөд хамгийн тодорхой тохирол ялдаг. Ямар нэг зүйлийг өргөтгөхөөс өмнө аль peer аль префикст эзэмших ёстойг шийднэ үү.
WireGuard дотор хамгийн урт префикс ялдаг
Peer бүрийн бичлэг нь очих газрын префиксүүдийн багцыг агуулна. Пакет интерфейс рүү чиглүүлэгдэх үед хэрэгжүүлэлт хамгийн тодорхой тохирох префикстэй бичлэгийг хайдаг — маршрутын хүснэгтийн хэрэглэдэг ижил дүрэм. Тиймээс /24 үүнийг агуулж буй /16-г дийлж, нарийхан peer трафикийг хүлээн авна.
Road-warrior тохиргоонууд үүнийг санаатайгаар ашигладаг. Нэг peer сайтын хувьд өргөн муж эзэмшиж, бие даасан хостнууд өөр peer-үүдэд хамаарах /32 бичлэгээр тусгаарлагддаг. Загвар ажилладаг шалтгаан нь тусгаарлалт илүү тодорхой байдаг, дараалал биш.
Эзэмшлийг префикс ба peer-ийн хүснэгтээр бичнэ үү. Хэрэв хоёр бичлэг ижил префиксийг дүрсэлбэл, тохиргоо цаашид зорилгыг илэрхийлэхгүй, харин уралдааныг илэрхийлнэ.
Үйлдлийн систем эхлээд интерфейсийг сонгодог
WireGuard зөвхөн нэг интерфейсийн peer-үүдийн дундаас сонгодог. Аль интерфейс пакетыг авах нь өмнө нь, хостны маршрутын хүснэгтээр шийдэгддэг, ба хоёр дахь өгөгдмөл маршрут эсвэл хуучирсан маршрут трафикийг peer жагсаалт хэзээ ч харахгүй газар руу илгээж болно. Тиймээс peer түвшний оношлогоо зөв байж болох бөгөөд гэмтлийг тайлбарлахгүй байж болно. Peer тохиргоог уншихаас өмнө очих газрын маршрутыг шалгана уу, учир нь физик интерфейс рүү заасан маршрут бүх асуултыг тойрч гардаг.
Хэрэгсэл ихэвчлэн тэдгээр маршрутыг peer-үүдийн мужаас суулгадаг бөгөөд энэ нь нэг peer-ийн жагсаалтын өөрчлөлт өмнө нь өөр хүнд хамаарах трафикийг чимээгүйгээр дахин чиглүүлж болно гэсэн үг. Тиймээс peer засах нь дүр эсгэсэн маршрутын өөрчлөлт юм. Хоёуланг нь зэрэг харна уу, эс бөгөөс нэгийг засаж, нөгөөг эвдэнэ.
Ирж буй пакетууд эх үүсвэрээр шалгагдана
Мужуудын жагсаалт давхар үүрэг гүйцэтгэдэг. Гарч буй трафикийн хувьд очих газраар peer сонгодог, ирж буй трафикийн хувьд эх үүсвэрийн хаягийг зөвшөөрдөг. Тэр peer-ийн мужаас гадна хаягаас ирсэн пакет аливаа галт хана харахаас өмнө хаягдана.
Тохиргооны нэг талыг уншиж байх үед энэ тэгш бус байдлыг анзаарахгүй байх амархан. Дэд сүлжээнд хүрч чадах peer нь үүгээр тухайн дэд сүлжээнээс илгээх эрхтэй болохгүй бөгөөд хоёр чиглэлийг өөр өөр шалгалтаар хангадаг.
Эх үүсвэрийн нарийн эзэмшил үүнийг давуу тал болгоно. Peer бүрт өөрийн хаягийн /32 өгвөл доорх галт хана тулгах найдвартай эх үүсвэртэй болно, аль ч гишүүн шаардаж болох бүлгийн хэмжээний мужийн оронд.
Давхардсан мужууд failover биш
Нэг префиксийг хоёр peer-т оноох нь ачааллын тэнцвэржүүлэгч эсвэл нөөц зам үүсгэхгүй. Эрүүл мэндийн шалгалт ч, сессийн холбоо ч байхгүй: ялсан бичлэгийг хэрэгжүүлэлтийн дотоод дараалал тодорхойлдог бөгөөд энэ нь зохион бүтээх гэрээ биш. Хэрэв өөр гарцууд хэрэгтэй бол сонголт тодорхойлогдсон газарт илэрхийлнэ үү. Маршрутын бодлого, хэмжүүр эсвэл тус бүр нь баримтжуулсан эзэнтэй хоёр өөр префикс нь таамаглаж, шалгаж болох зан төлөвийг үүсгэдэг.
Холбоогүй гэмтлийг засахын тулд мужийг өргөтгөх нь өөр нэг нийтлэг алдаа. Энэ нь ажиллаж байсан peer-ээс трафикийг холдуулж, хуучин нь ойлгогдохоос өмнө шинэ шинж тэмдэг ирдэг.
Засахаас өмнө сонголтыг шалгана уу
Гурван команд гурван асуултад дарааллаар хариулдаг. Эхнийх нь peer бүрийн шаардаж буй мужуудыг жагсаана. Хоёр дахь нь хост очих газарт аль интерфейс ашиглахыг харуулна. Гурав дахь нь трафик урссаны дараах peer-үүдийн амьд байдлыг харуулна.
wg show wg0 allowed-ips ip route get 10.66.8.20 wg show wg0 ip rule show
Тэдгээрийг өөрчлөлтийн өмнө болон дараа ажиллуулж харьцуулна уу. Хэрэв маршрутын гаралт өөрчлөгдсөн боловч трафик буруу peer-т хүрсээр байвал префиксүүдийн жагсаалт таны бичээгүй байдлаар давхцаж байна. Хэрэв маршрутын гаралт өөрчлөгдөөгүй бол peer тохиргоо нь хэзээ ч асууж байсан зүйл байгаагүй.
Тасалбарт очих газрыг, сонгосон интерфейсийг, сонгосон peer-ийг бичнэ үү. Яг энэ гурвал давхцлыг дараа нь хянах боломжтой болгож, тохиргооны дэлгэцийн зурагнаас хамаагүй ашигтай.