mDNS fuq WireGuard: tliet bibien qabel ma peer iwieġeb
Avahi jeħtieġ interface eliġibbli, rotta lejn il-grupp u peer li jippossjedi d-destinazzjoni. Tliet bibien, tliet verifiki separati u l-ebda tixrid.
L-issettjar tal-bandiera multicast fuq apparat WireGuard jagħmel l-interface eliġibbli għas-software ta' skoperta, u dan huwa kollu li tagħmel il-bandiera. Ma tgħidx lill-protokoll fejn għandu jmur pakkett tal-grupp, u fuq apparat b'ħafna peers m'hemmx tweġiba waħda ovvja. Tliet bibien separati jinsabu bejn daemon li qed jaħdem u servizz skopert.
Ittestjahom fl-ordni, għax tgħaddi minn waħda ma tgħidlek xejn dwar dik li jmiss.
L-ewwel bieb: il-bandiera u l-politika tad-daemon
Apparat WireGuard fuq Linux jinħoloq bħala konnessjoni punt-sa-punt mingħajr ARP, u b'mod awtomatiku ma jġorrx il-bandiera multicast. Iż-żieda tal-bandiera hija bidla lokali fl-interface, magħmula minn kwalunkwe ħaġa li tamministra l-apparat. Avahi għandu l-veduta tiegħu tad-dinja fuq dan, u l-politika awtomatika tiegħu taqbeż għal kollox l-interfaces punt-sa-punt. Għalhekk japplikaw żewġ testijiet ta' eliġibbiltà indipendenti qabel ma jiċċaqlaq pakkett wieħed.
Għalhekk id-daemon jeħtieġ deċiżjoni espliċita, mhux biss proċess li qed jaħdem. Il-kontrolli dokumentati tiegħu jinkludu allow-interfaces, deny-interfaces u allow-point-to-point, u l-aħħar huwa s-setting li n-nies jitilfu.
Il-verifiki hawn taħt jirrappurtaw il-bnadar tal-konnessjoni, ir-rotta multicast u jekk il-konfigurazzjoni tad-daemon tiġix analizzata xejn:
ip -d link show wg0
ip route get 224.0.0.251
avahi-daemon --checkDaemon li beda b'suċċess mhux bilfors fetaħ sockets fuq l-interface li tinteressak. Aqra l-konfigurazzjoni effettiva tiegħu minflok ma tassumi li l-istat tas-servizz huwa ugwali għall-kopertura.
It-tieni bieb: ir-rotta lejn il-grupp
It-tieni bieb huwa routing ordinarju. Pakkett indirizzat lil 224.0.0.251 isegwi t-tabella tal-forwarding bħal kull ħaġa oħra, u jekk it-tabella tibgħatuh barra mill-interface fiżika tal-LAN, l-ebda konfigurazzjoni WireGuard ma tbiddel dan. Sejjaħ l-rotta l-ewwel u l-bqija tal-investigazzjoni tqassar. Ara x'jirrapporta l-kernel għall-indirizz tal-grupp qabel ma tmiss xi ċavetta tal-peer.
| Observation | Gate it belongs to | What it does not prove |
|---|---|---|
Multicast flag present on wg0 | Interface eligibility | The daemon will use the interface |
Route to the group via wg0 | Forwarding | Any peer will receive it |
| Destination inside a peer's allowed list | Peer selection | That peer's network will answer |
Mingħajr rotta speċifika, il-kernel jerġa' lura għall-immaniġġjar multicast tal-konnessjoni stess, u għalhekk l-awtomatiku jidher tajjeb fuq LAN pjan u ħażin hekk kif l-istess traffiku tal-grupp għandu joħroġ minn tunnel. Il-falliment huwa sieket mill-ġenb tal-mibgħat: il-mistoqsija tmur xi mkien, u t-tweġiba qatt ma tasal.
It-tielet bieb: WireGuard jagħżel peer wieħed għal kull pakkett
WireGuard jagħżel peer ħiereġ billi jfittex id-destinazzjoni fis-settijiet tal-indirizzi permessi, u l-passaġġ tat-trażmissjoni ta' Linux iwettaq dik it-tfittxija darba għal kull pakkett. Ir-riżultat huwa wieħed, u l-pakkett jiġi kkriptat għal dak il-peer. L-istess prefiss tal-grupp li jidher fil-listi permessi ta' bosta peers ma joħloqx sħubija jew replika; joħloq tfittxija ambigwa li tissolva f'wieħed minnhom.
Fuq konnessjoni ddedikata b'żewġ trufijiet dan huwa eżattament dak li trid, għax hemm destinatarju wieħed maħsub għat-traffiku tal-grupp li jinġarr b'mod intenzjonat. Fuq interface b'ħames peers dan huwa limitazzjoni, mhux karatteristika, u t-tiswija tappartjeni lid-disinn u mhux lill-konfigurazzjoni ta' xi peer wieħed.
Disinn b'tixrid jeħtieġ relay espliċitu, konnessjonijiet separati jew mekkaniżmu ta' skoperta kompletament differenti. Li tippubblika riċetta ta' żewġ trufijiet bħala soluzzjoni għal ħafna klijenti għax kull klijent jista' jpingja l-gateway huwa kif dan jiġi implimentat ħażin.
Id-direzzjoni tad-dħul tiġi vverifikata b'mod differenti: is-sors ta' pakkett riċevut għandu jaqa' fil-lista permessa tal-peer awtentikat. Iż-żieda ta' destinazzjoni multicast hemmhekk ma tissostitwix il-pussess reali tas-sors tal-mibgħat.
Ir-riflessjoni hija fruntiera, mhux pont
Ir-riflettur ta' Avahi jirriproduċi messaġġi mDNS bejn l-interfaces li jagħżel, fil-livell tal-applikazzjoni. Hija fruntiera ta' skoperta bejn netwerks, mhux pont Ethernet u mhux router multicast ġenerali. Żewġ rifletturi konnessi mal-istess netwerks se joħolqu b'ħeġġa loop ta' avviżi ripetuti.
Ir-riflessjoni tgħaddi wkoll l-ismijiet tas-servizzi u l-metadata tagħhom lil netwerk ieħor, li hija deċiżjoni ta' privatezza daqs kemm hija deċiżjoni ta' routing. Illimita l-interfaces magħżula, u uża filtri tas-servizzi fejn il-verżjoni installata tappoġġjahom, sabiex biss l-avviżi li jeħtieġ utent awtorizzat jaqsmu l-fruntiera.
L-iskoperta u l-użu jibqgħu riżultati separati. Klijent jista' jara avviż għal servizz li l-indirizz imħabbar tiegħu mhux aċċessibbli minn fejn jinsab il-klijent, jew li l-port tiegħu l-politika ta' aċċess tiegħu tirrifjuta. Ikkonferma l-konnessjoni mas-servizz wara li jidher l-avviż, u jekk l-applikazzjoni tappoġġja isem DNS stabbli jew indirizz ta' server espliċitu, ippreferixxi dan milli testendi l-iskoperta lokali tal-konnessjoni. Id-deskrizzjoni tar-routing b'ċavetta kriptografika tkopri l-għażla tal-peer ibbażata fuq id-destinazzjoni li fuqha jiddependi dan kollu.