AllowedIPs ही राउटिंग यादी आहे, फायरवॉल नियम नाही

बहुतेक लोक AllowedIPs ला परवानगी यादी म्हणून वाचतात, म्हणजे पीअरशी जोडले जाऊ शकणाऱ्या पत्त्यांचा संच, जणू बोगद्यासाठी लिहिलेला फायरवॉल नियम। तसे नाही। हे क्षेत्र दोन्ही दिशांनी काम करणारे राउटिंग तक्ता आहे: ते बाहेर जाणाऱ्या पॅकेटसाठी पीअर निवडते आणि आत येणाऱ्या पॅकेटच्या स्रोताची पडताळणी करते। ते प्रवेश यादी म्हणून वाचल्यास अशा संरचना तयार होतात ज्या कोणीही न मागितलेली रहदारी मार्गस्थ करतात।

एक क्षेत्र, दोन वाचक: बाहेरची निवड आणि स्रोत तपासणी

क्लायंटवर, उपसर्ग ठरवतात की कोणती गंतव्ये त्या पीअरकडे जातात आणि कोणती सामान्य जाळ्यावर राहतात। म्हणून 0.0.0.0/0 साठीची नोंद प्रत्येक IPv4 गंतव्य पकडते, आणि म्हणूनच पूर्ण बोगदा प्रोफाइल आयात केल्यावर सामान्य ब्राउझिंग दूरच्या यंत्रातून जाते। अरुंद नोंदी उलटे करतात: तुम्ही सूचीबद्ध केलेली जाळीच मार्गस्थ करतात आणि बाकी सर्व जिथे होते तिथेच ठेवतात। WireGuard दस्तऐवजातील क्रिप्टोकी राउटिंग विभाग दोन्ही कामे एकाच ठिकाणी सांगतो: बाहेर जाणाऱ्या पीअरची निवड आणि आत येणाऱ्या स्रोताची पडताळणी।

सर्व्हरवर, तेच क्षेत्र प्रत्येक पीअर कोणते स्रोत पत्ते वापरू शकतो ते वर्णन करते। ही पॅकेट फिल्टर नसून क्रिप्टोग्राफिक तपासणी आहे: ज्या पॅकेटचा आतील स्रोत पीअरच्या यादीशी जुळत नाही तो यजमानावरील कोणत्याही फायरवॉलला दिसण्यापूर्वीच WireGuard मध्ये टाकून दिला जातो। दोन्ही कामे एकच यादी वापरतात, आणि म्हणूनच दुसरीकडून नकल केलेली यादी तुम्ही विचार न केलेल्या ठिकाणी चुकीचे वागते।

क्लायंट ब्लॉक हेच या गोंधळाचे बहुतेक सुरुवातीचे ठिकाण आहे। विभाजित बोगदा दूरच्या जाळ्यांची नावे देतो, आणि पूर्ण बोगदा म्हणजे तेच क्षेत्र डीफॉल्ट उपसर्गासह:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

दोन्ही स्वरूपे स्वतःमध्ये पूर्ण आहेत, आणि ती पायऱ्या नसून पर्याय आहेत। पहिले फक्त त्या दोन जाळ्यांच बोगद्यातून पाठवते; दुसरे प्रत्येक गंतव्य पाठवते, आणि ::/0 नोंद IPv4 डीफॉल्टमध्ये IPv6 जोडते। तुम्ही कोणतेही निवडा, wg-quick मार्ग स्थापित करू लागताच ते उपसर्ग त्या पीअरसाठी संपूर्ण राउटिंग निर्णय असतात।

हबला वेगळी यादी आवश्यक आहे

हब प्रत्येक क्लायंटचा बोगदा पत्ता यजमान उपसर्ग म्हणून सूचीबद्ध करते, तसेच त्या क्लायंटच्या मागे खरोखर असलेले कोणतेही जाळे। क्लायंटची रुंद यादी प्रत्येक हब पीअरवर नकल केल्यास हबला सांगितले जाते की अनेक पीअर एकच पत्ते स्रोत म्हणून वापरू शकतात, आणि तो पत्ता आराखडा नाही। Endpoint क्षेत्र पूर्णपणे दुसऱ्या स्तराचे आहे: ते पीअरचा बाह्य पत्ता आणि पोर्ट सांगते, कधीही बोगद्याच्या आतले गंतव्य नाही।

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

यजमान उपसर्ग बोगद्याचा पत्ता वाहतो आणि जाळे उपसर्ग क्लायंटच्या मागे जे आहे ते वाहतो, आणि दोन्ही आवश्यक आहेत। यजमान उपसर्गाशिवाय हब क्लायंटची स्वतःची रहदारी परत पाठवू शकत नाही, आणि जाळे उपसर्गाशिवाय त्याच्या मागील LAN अगम्य राहते; मागे काहीही नसलेल्या पीअरला फक्त यजमान उपसर्ग मिळतो।

मार्ग स्थापना वगळल्यास दरी राहते

wg-quick, संरचना फाइलमधून इंटरफेस उभा करणारा सहाय्यक, त्या कामाचा भाग म्हणून इंटरफेस पत्ते आणि मार्ग स्थापित करतो। Table = off सेट केल्यास सहाय्यकाला मार्गाचे काम वगळण्यास सांगितले जाते, ज्यामुळे पर्याय स्थापित होत नाहीत आणि खाजगी जाळे गम्य होत नाही। स्वयंचलित मार्ग आधीच काम करत असल्यास आवश्यक उपसर्गांची नावे देणे ही अधिक स्पष्ट संरचना आहे। मार्ग व्यवस्थापन बंद करून पर्याय न लिहिणे ही रचना नाही, ती एक चूक आहे।

मूळ wg साधन वेगळे वागते: ते इंटरफेस संरचित करते आणि मार्गांना कधीही स्पर्श करत नाही, म्हणून त्यावर थेट बांधलेल्या सेटअपला स्वतःचे मार्ग आदेश लागतात। एका साधनासाठी लिहिलेल्या सूचना दुसऱ्यासोबत पाळल्यास चुकीच्या वाटू शकतात। यशस्वी ping हाही कमकुवत पुरावा आहे, कारण तो तुम्हाला आवश्यक असलेल्या प्रत्येक अनुप्रयोग मार्गाऐवजी एकच मार्ग तपासतो।

DNS आणि IPv6 स्वतंत्रपणे ठरवले जातात

बोगदा जाहीर करतो त्या DNS सर्व्हरचा पत्ता तपासा, आणि तुम्ही निवडलेल्या उपसर्गांद्वारे त्या पत्त्यापर्यंत मार्ग आहे याची खात्री करा। रिझोल्व्हर सेटिंग रिझोल्व्हरला गम्य करत नाही, आणि बोगदा अरुंद केल्यास तिकडे जाणारा मार्ग शांतपणे काढला जाऊ शकतो। IPv6 देखील स्वतंत्रपणे तपासा, कारण योग्य IPv4 विभाजन अजूनही भौतिक दुव्याकडे निर्देश करणाऱ्या IPv6 डीफॉल्ट मार्गाबद्दल काहीही सांगत नाही। एक पीअर ब्लॉक संपादित करताना तीन स्वतंत्र निर्णय एकाच वेळी बदलू शकतात।

नंतर ज्ञात प्रारंभिक संरचनेतून एक खाजगी संसाधन आणि एक सामान्य वेबसाइट उघडा। संसाधन उत्तर देत असल्यास आणि ब्राउझिंग अजूनही स्थानिक जोडणीतून बाहेर जात असल्यास, विभाजन तुम्ही मागितले तेच करते। त्याच क्षणी ब्राउझिंग तुटल्यास, बोगद्याने डीफॉल्ट मार्ग घेतला आहे आणि उपसर्ग यादी ही पाहण्याची जागा आहे।