नेटवर्क नेमस्पेसमधील WireGuard: सॉकेट का मागे राहिला

इंटरफेस तुम्हाला हव्या असलेल्या नेमस्पेसमधे सूचीबद्ध आहे, अनुप्रयोग त्याला जोडलेला आहे, तरीही कोणताही बोगदा रहदारी कधीही दिसत नाही. हे Linux कर्नेलमधील अशा WireGuard उपकरणाचे लक्षण आहे जे एका नेमस्पेसमधे तयार होऊन दुसर्यात हलवले गेले: इंटरफेस हलला पण त्याचा एन्क्रिप्टेड UDP सॉकेट हलला नाही. आतील रहदारीला महत्त्व येण्यापूर्वी दोन्ही योग्य जागी असले पाहिजेत. एकाऐवजी दोन संदर्भ पाहायचे आहेत हे कळल्यावर तपासणी वेगाने होते.

लक्षण: योग्य नेमस्पेस, पण पॅकेट नाहीत

नेमस्पेसच्या आत बोगदा निरोगी दिसतो. उपकरण आहे, पत्ते नेमून दिलेली आहेत आणि पीअर रचना उपलब्ध आहे. बाहेर, अपेक्षित UDP देवघेव तुम्ही पाहत असलेल्या इंटरफेसवर कधीही दिसत नाही, आणि समोरची बाजू हस्तांदोलन झाले नाही असे कळवते.

कारण असे की अनुप्रयोगाचे आतील पॅकेट हलवलेल्या उपकरणापर्यंत पोहोचतात, आणि उपकरण ते दुसर्या नेटवर्क संदर्भातील सॉकेटमधून पाठवण्याचा प्रयत्न करते. तो वापरत असलेला अंतर्निहित मार्ग आणि त्यावर लागू होणारा प्रत्येक फायरवॉल नियम हा उपकरण तयार झालेल्या नेमस्पेसचा आहे.

हे हलवण्यातील दोष नाही आणि पीअरची चुकीची रचनाही नाही. कर्नेल अंमलबजावणी अशीच कार्य करते, आणि WireGuard साठीचे नेमस्पेस दस्तऐवज तयारीचा नियम स्पष्ट सांगतात.

सॉकेटला जन्मस्थान का आहे

WireGuard उपकरणाकडे त्याच्या एन्क्रिप्टेड वाहतुकीसाठी एक UDP सॉकेट असतो, आणि ते सॉकेट उपकरण तयार होते त्या नेमस्पेसमधेच उघडते. लिंक आदेशाने इंटरफेस हलवल्यास दिसणारे उपकरण हलते पण वाहतूक जिथे सुरू झाली तिथेच राहते. मग दोन वस्तूंचे मालक वेगळे असतात.

परिणाम चुकवणे सोपे आहे कारण दोन्ही अर्धे वेगळ्या वेगळ्या ठिकाणी तपासले जातात. आतील मार्ग अनुप्रयोग ज्या नेमस्पेसमधे चालतो तिथे ठरतो, आणि बाहेरील मार्ग सॉकेट जिथे असतो तिथे ठरतो. यापैकी फक्त एक तपासल्यास आत्मविश्वासू पण चुकीचा निष्कर्ष मिळतो. दोन्ही तपासल्यास तपास सहसा एकाच फेरीत पूर्ण होतो.

सॉकेट हवे तिथेच ते तयार करा

उपाय हा आहे की उपकरण बाहेर तयार करून हलवण्याऍजवर लक्ष्य नेमस्पेसमधेच तयार करा. मंजूर नेमस्पेस आधीपासून आहे आणि नाव वापरात नाही असे गृहीत धरून:

ip netns exec vpn-apps ip link add wg-demo type wireguard
ip netns exec vpn-apps wg show

आता इंटरफेस आणि त्याचे सॉकेट दोन्ही त्या संदर्भाचे आहेत, त्यामुळे अंतर्निहित मार्ग आणि लागू होणारे गाळणी नियम तिथेच संरचित केलेले आहेत. जर रचनेला स्पष्ट बाजू अन्यत्र हवी असेल, तर आधी मूळभूत इंटरफेस नेमस्पेसमधे ठेवा आणि नंतर बोगदा तयार करा. क्रम हा रचनेचा भाग आहे, अंमलबजावणीचा तपशील नाही.

यांना नेटवर्क प्रशासनाचे आदेश माना, पाककृती नाही. ते उपकरण तयार करतात आणि स्थिती दाखवतात; किल्ल्या, पीअर, पत्ते आणि मार्ग अजूनही मंजूर रचनेतूनच आले पाहिजेत, आणि चालू उत्पादन इंटरफेस कधीही उदाहरणात बदलू नये.

मार्गाच्या दोन्ही बाजू वाचा

उपकरण योग्य जागी आल्यावर दोन्ही निर्णय स्वतंत्रपणे पडताळा. अनुप्रयोगाच्या संदर्भातून आतील शोधाने सुरुवात करा, नंतर सॉकेटच्या मालकीच्या संदर्भातून बाहेरील मार्ग तपासा:

ip netns exec vpn-apps ip route get 10.30.0.9
ip netns exec vpn-apps wg show
tcpdump -ni any udp port 51820

जर आतील शोध बोगद्यातून सुटला आणि बाहेरील कॅप्चर एन्क्रिप्टेड देवघेव दाखवतो, तर दोन्ही अर्धे जुळतात. जर कॅप्चर रिकामे असेल, तर सॉकेट अजून दुसरीकडे आहे, किंवा त्याच्या नेमस्पेसचा अंतर्निहित मार्ग अंतिम बिंदूपर्यंत पोहोचत नाही.

आणखी एक तपासणी नोंदीत असावी: पुन्हा सुरू केल्यावर उपकरण कसे तयार होते. जो व्यवस्थापक वेगळ्या तयारीच्या संदर्भाने इंटरफेस पुन्हा तयार करतो तो सॉकेटचे जन्मस्थान बदलतो. एकदा चाललेले हाताने हलवणे व्यवस्थापित मार्गाबद्दल पुरावा नाही.