WireGuard: хоёр хагас маршрут ба wg-quick дахь 0.0.0.0/0

Хоёр /1 угтвар нь нэг /0-тай яг ижил IPv4 хаягуудыг хамардаг бөгөөд энэ тэгш байдал нь түншийн зөвшөөрөгдсөн угтварын жагсаалтын дотор л хүчинтэй. Тохируулах хэрэгсэл хэрхэн чиглүүлэхийг шийдсэн тэр мөчид хүчингүй болно, учир нь Linux дахь wg-quick анхдагч угтварыг арифметик биш, онцгой тохиолдол гэж үздэг. Онцгой салбар нь тусдаа хүснэгт, хоёр бодлогын дүрэм, сокетын тэмдэг, эсрэг замын тохиргоог суулгадаг бөгөөд хагас маршрутын хос тэдгээрийг хэзээ ч авдаггүй. Тиймээс засварын дараа прокси эсвэл хөтөч ажиллахаа болих үед угтварууд нь өөрчлөлтийн хамгийн сонирхолгүй хэсэг байдаг.

Угтварын жагсаалт бүхэл тохиргоо биш

AllowedIPs нэгэн зэрэг хоёр ажил хийдэг бөгөөд зөвхөн нэг нь хамрах хүрээний тухай. WireGuard-ын хувьд жагсаалт нь криптотүлхүүрийн чиглүүлэлт: аль очих газрууд түнш рүү шифрлэгдэх, тэр түнш ямар эх үүсвэрийн хаяг ашиглаж болохыг тодорхойлно. wg-quick-ийн хувьд мөн жагсаалт нь маршрутын тодорхойлолт болж ажилладаг бөгөөд үүсгэх маршрут нь жагсаалт санамсаргүйгээр аль салбартай таарахаас хамаарна. Тиймээс хоёр өөр жагсаалтын хэлбэрт ижил хамрах хүрээ байх нь ижил хост төлөвийн тухай юу ч хэлэхгүй.

Анхдагч тохиргоо тэр шийдвэрийг таны гараас авдаг, учир нь Table анхдагчаар автомат бөгөөд маршрутууд хаана буухыг хэрэгсэл өөрөө сонгодог. Өөр сүлжээний менежер, түгээлтийн боодол эсвэл өөрчилсөн Table утга үр дүнг дахин өөрчилдөг, иймээс нэг хостод зориулж бичсэн зөвлөгөө дараагийн хост дээр буруу харагдаж болно.

Анхдагч салбар маршрутаас гадна юу нэмдэг

/0 бичлэг wg-quick-ыг анхдагч маршрутын зам руу илгээдэг: тусдаа чиглүүлэлтийн хүснэгт анхдагчийг хүлээн авна, нэг бодлогын дүрэм тэмдэглэгээгүй урсгалыг тэнд илгээдэг, хоёр дахь дүрэм үндсэн хүснэгтийн илүү тодорхой маршрутуудыг эрх мэдэлтэй байлгадаг, интерфэйс өөрийн сокет дээр галт ханын тэмдэг авдаг. Тэр тэмдэг нь давталтын хамгаалагч. Туннелийн урсгалыг зөөвөрлөх шифрлэгдсэн датаграмууд тэмдэг тавьсан байдалтай гардаг тул бусад бүхнийг туннель рүү чиглүүлэх дүрэм туннелийн өөрийн тээврийн пакетуудыг залгихгүй.

Харин /1 бичлэгүүдийн хос энгийн маршрутын замыг сонгодог. Тохируулсан хүснэгтэд хоёр маршрут буух бөгөөд эргэн тойрны механизмын аль нь ч харагдахгүй, энэ нь илүүдэлтэй учраас биш, тэр кодын замд хэзээ ч ороогүй учраас юм.

Хоёр зохион байгуулалт хаана салдаг

Ялгаа нь эхлээд рекурс хэлбэрээр илэрдэг. Хагас маршрутууд үндсэн хүснэгтэд байх үед түншийн өөрийн тээврийн хаяг туннелийн угтвар дотор ордог тул туннелийг зөөвөрлөх ёстой пакет туннель дотогш заасан маршруттай таарна. Ямар нэг зүйл түүнийг чөлөөлөх ёстой: одоогийн төгсгөлийн цэгийн хост маршрут, гараар тавьсан тэмдэг, эсвэл интерфэйст өвөрмөц дүрэм. Хост маршрут нь төгсгөлийн цэгийн хаяг өөрчлөгдөх хүртэл ажилладаг, энэ нь DNS-д суурилсан төгсгөлийн цэгүүд, аялж буй клиентүүд, олон түнштэй тохиргоонд тохиолддог.

Хоёрдугаарт, тэмдгийн тухай дүгнэлт хийдэг бүхэн зан төлөвөө өөрчилдөг. Холболтыг локалаар дахин чиглүүлдэг тунгалаг прокси шинэ сокетууд үүсгэдэг бөгөөд тэдгээрийн тэмдэг, эх сурвалж нь анхны клиентийн урсгалаас ялгаатай, анхдагч салбарын үүсгэдэг бодлогын дүрмүүд тэр урсгалуудыг ялгах нэг хэсэг байсан. Проксийн өөрийн гарч буй холболтыг унших нь анхны очих газарт хүрэх боломжтой эсэхийг шалгахаас өөр дасгал.

Засахаас өмнө дүрэм, тэмдгийг уншина уу

Туннель эрүүл байхад одоогийн төлөвийг бичиж аваад, өөрчлөлтийн дараа дахин, тохиргооны файлаас дүгнэлт хийхийн оронд хоёр дампыг харьцуулна уу. Бодлогын дүрэм, хүснэгт бүр, интерфэйсийн тэмдэг, бүртгэсэн төгсгөлийн цэгүүдийг оруулна уу.

ip rule show
ip -4 route show table all | grep -E 'default|wg1'
wg show wg1 fwmark
wg show wg1 endpoints

Хэрэв гаралтын эхний мөр тэмдэглэгээгүй урсгалын дүрмийг алдсан бөгөөд тусдаа хүснэгт хоосон бол анхдагч салбар ажиллахгүй байгаа бөгөөд ямар ч угтварын арифметик түүний нөлөөг сэргээхгүй. Өмнө нь тэмдэгтэй байсан интерфэйс дээр тэг тэмдэг нь мөн ижил дохио бөгөөд нэг утгад харагдана.

Гаргахаас өмнө туннель алдагдахыг дасгалжаарай

Хэрэв хагас маршрутын зохион байгуулалт нь санаатай сонголт бол дутуу хэсгүүдийг тодорхой өгөх ёстой: хаягийн өөрчлөлтийг даван туулах төгсгөлийн цэгийн зам, туннель унах үеийн зорилтот зан төлөв, IPv6-д ижил төстэй хандлага. Тэдгээрийг тасалдлын үеэр илрүүлэхийн оронд шаардлага болгон бичээрэй. Дараа нь бүтэлгүйтлийг дасгалжаарай, учир нь физик дээд суваг руу чимээгүй буцаж унах бүрэн туннель ажиллахаа болихоос ч дор.

sudo ip -4 route add 198.51.100.20/32 via 192.0.2.1 dev eth0
ip -4 route get 198.51.100.20
sudo wg-quick down wg1

Маршрут хайлт нь төгсгөлийн цэгийг туннель дамжуулахгүйгээр физик интерфэйсээс шийдэх ёстой бөгөөд интерфэйсийг доошлуулах нь хостыг дизайны амласан төлөвт үлдээх ёстой. Солилтын дараа ажиллаж буй прокси үүсгэсэн хост төлөв чухал байсныг нотолж байна; гэхдээ давталтаас сэргийлэх, унтраасан төлөвийн зан төлөв засварыг даван туулсныг нотлохгүй.