WireGuard хост префикс: яагаад нэг хаяг ажиллаж, бусад нь ажиллахгүй байна

Туннель ажиллаж байна, handshake хоёр минут тутамд явагдаж, нөгөө талд яг нэг хаяг хариулж байна. Пир-ийн туннелийн хаяг руу ping ажиллаж байна; түүний ард юу ч ажиллахгүй байна. Хэн нэгэн интерфэйсийн тохиргоог уншиж, хост префикс хараад маск буруу гэж дүгнэнэ. Үүнийг /24 болгон өргөтгөх нь ping-ийг хэсэг хугацаанд засаад дараа нь өөр зүйлийг эвддэг. Префикс хэзээ ч буруутай байгаагүй бөгөөд дутуу байсан зам нь маск удирддаг зам биш юм.

Интерфэйсийн префикс яг юу үүсгэдэг вэ

Linux дээр интерфэйсэд хаяг оноох нь тухайн префиксэд холбогдсон зам үүсгэдэг. Хост префикс оноовол холбогдсон зам нэг хаягийг хамарна. /24 оноовол 256 хаягийг хамарч, тэдгээр нь бүгд одоо тэр холбоосоор хүрэх боломжтой гэж тооцогдоно.

ip -4 addr show dev wg0
ip -4 route show dev wg0
ip route get 10.80.7.1

Хост префикс нь цэгээс цэг хүртэлх туннельд бүрэн хэвийн сонголт, учир нь нөгөө төгсгөлд яг нэг пир байна. Гурав дахь команд нь хэрэглэгчийн асуултад хариулдаг: цөм тэр чиглэлд аль интерфэйсийг ашиглахыг хэлж, ямар ч зам тохирохгүй бол ямар ч хэрэгтэй зүйл харуулахгүй.

Энэ бол шинж тэмдгийн бүх тайлбар юм. Нэг хаяг хариулж байгаа нь түүнд холбогдсон зам байгаа эсвэл пир-ийн зөвшөөрөгдсөн жагсаалтад санамсаргүй багтсан учраас юм. Бусад бүх зүйл замгүй тул WireGuard оролцохоос өмнө хаягдана. Туннель бүх хугацаанд эрүүл байдаг тул handshake тоолуур тайвшруулахаар харагдаж байна.

AllowedIPs бол нэг нэр дор хоёр дүрэм

WireGuard-ийн пир тус бүрийн зөвшөөрөгдсөн жагсаалт нэгэн зэрэг хоёр ажил хийдэг бөгөөд тохиргооны синтакс тэдгээрийг нэг мэт харагдуулдаг. Оролтын талд пир ямар эх сурвалж хаяг танилцуулж болохыг зөвшөөрдөг. Гаралтын талд хамгийн тодорхой тохирлыг олж, пакет аль пир рүү явахыг сонгодог.

Тэдгээрийн аль нь ч чиглүүлэлт биш. Цөм пакет туннелийн интерфэйсэд хамааралтай гэдгийг WireGuard харахаас өмнө шийдэх ёстой бөгөөд энэ шийдвэр чиглүүлэлтийн хүснэгтээс гардаг. Өргөн зөвшөөрөгдсөн жагсаалттай пир бичлэг өөрөө замыг суулгадаггүй.

Тиймээс тохиргоо бүрэн харагдаж болох ч тэгш бус ажиллаж болно. Клиент зам байгаа тул нөгөө тал руу илгээдэг, харин нөгөө талын зөвшөөрөгдсөн жагсаалт клиентийн эх сурвалжийг зөвшөөрөхгүй эсвэл нөгөө талд буцах зам байхгүй тул хариултууд хэзээ ч ирдэггүй. Хоёр чиглэл нь тусдаа шийдвэр, тусдаа алдааны горимтой. Аль нь туршиж байгаагаа бичих нь оношийн тал юм.

Зам хаанаас ирдэг вэ

Хэрэв та wg-quick ашигладаг бол замууд нь пир бүрийн зөвшөөрөгдсөн жагсаалтаас таны өмнөөс үүсдэг, хэрэв та Table = off тохируулж, удирдлагыг өөрөө аваагүй бол. Энэ нь хэрэгслийн баримтжуулсан зан төлөв бөгөөд тодорхой замын зааваргүй тохиргоо хэвээр ажиллах шалтгаан юм.

sudo wg show wg0 allowed-ips
ip route show | grep wg0
sudo wg-quick strip wg0

Зөвшөөрөгдсөн жагсаалтыг бодитоор байгаа замуудтай харьцуул. Бүхэл дэд сүлжээг зөвшөөрсөн боловч зөвхөн хост зам үүсгэсэн пир нь туслах програм хэзээ ч ажиллаагүй, эсвэл та интерфэйсийг wg ба ip ашиглан шууд удирдаж байгаа гэсэн үг, тэгвэл танд ямар ч зам үүсэхгүй.

Гараар удирдах үед зам нь нэг мөр бөгөөд хэлбэр нь тодорхой: очих газрыг интерфэйсээр дамжуулан, гарцгүйгээр, учир нь холбоос нь цэгээс цэг хүртэл. Үүнийг нэмэх нь муу префиксэд хийх түр зуурын шийдэл биш; энэ нь чиглүүлэлтийг өөрөө хариуцахаар сонгосон загварын дутуу тал юм.

Өргөн префикс пир бичлэгийг нэмдэггүй

Уруу татах засвар бол хаягийг /24 болгож, холбогдсон зам серверийн локал сүлжээг хамардаг. Ажиллаж байгаа юм шиг санагддаг бөгөөд ажиллаж байгаа юм шиг санагддаг шалтгаан нь холбогдсон зам одоо тохирч байгаа бөгөөд WireGuard шинэ зүйл сураагүй нь биш.

Мөн та бүх хүрээг тэр холбоосоор шууд хүрэх боломжтой гэж мэдэгдсэн, үүнд бусад пир эсвэл серверийн ард байгаа локал сүлжээнд хамаарах хаягууд орно. Тэдгээр хаяг руу чиглэсэн трафик одоо туннельд орж, нөгөө талд гарч ирэх эсэх нь серверийн өөрийн чиглүүлэлт болон зөвшөөрөгдсөн жагсаалтаас хамаарна.

Криптограф тал нь ямар ч тохиолдолд хөндөгдөхгүй. WireGuard пир сонгохын тулд очих газрыг хамарсан зөвшөөрөгдсөн жагсаалтын бичлэг хэрэгтэй хэвээр, нөгөө тал таны эх сурвалжийг хамарсан бичлэг хэрэгтэй хэвээр байна. Илүү өргөн интерфэйс префикс аль нэгийг нь ч өгч чадахгүй.

Ямар нэг зүйлийг өөрчлөхөөс өмнө хоёр чиглэлийг баталгаажуул

Хоёр төгсгөлийг тусад нь авч үзэж, тус бүр юу хэлж байгааг бич. Клиент дээр зам ба пир бичлэг; сервер дээр толин тусгал дүрс ба өөрийн буцах зам:

ip route get 192.168.70.20
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo tcpdump -ni wg0 -c 10

Баривчлалт нь чиглэлийн талаарх маргааныг шийддэг. Хэрэв гарах пакетууд туннелийн интерфэйс дээр гарч, сервер юу ч бүртгэхгүй бол алслагдсан төгсгөл тэдгээрийг татгалзаж байна, ихэвчлэн таны эх сурвалж түүний зөвшөөрөгдсөн жагсаалтаас гадуур байгаа учраас. Хэрэв огт юу ч гарч ирэхгүй бол зам дутуу эсвэл өөр тийш зааж байна.

Дараа нь нарийн төгсгөлийг зас. Серверийн талд таны клиентийн хаягт зориулсан зөвшөөрөгдсөн жагсаалтын бичлэг, клиентийн талд очих дэд сүлжээнд зориулсан бичлэг нь ердийн хэлбэр бөгөөд интерфэйс префиксийг хөндөхгүй. Зөвхөн хаягийн төлөвлөгөө тэр холбоос дээр хуваалцсан дэд сүлжээ үнэхээр хүсч байгаа бол префиксийг өргөтгөж, үүнийг дибаг хийх алхам биш төлөвлөгөөний өөрчлөлт болгон хий.