Kif tibni test WireGuard b'żewġ peers li jipprova passaġġ wieħed

Test WireGuard li jġorr rotta default, prefiss LAN, DNS u eċċezzjoni tal-firewall ma jistax jgħidlek liema minnhom nqasmet. Naqqasha għal żewġ peers, par indirizzi wieħed u servizz wieħed permess, u l-ħsara m'għandhiex fejn taħbi. Il-bażi tedjanti hija d-dijanjosi. Ibnuha l-ewwel; tieħu ħmistax-il minuta u tiffranka l-warajiex li inkella kont se tqatta' tħabbat rasek.

Dak li tipprova l-bażi huwa iżjed dejjaq milli jistennew ħafna nies. Tipprova li żewġ identitajiet jaqblu, li UDP jilħaq il-port tas-smigħ u li destinazzjoni waħda permessa ġġorr talba. Il-forwarding, in-NAT, ir-rotot LAN u d-DNS huma karatteristiċi separati li jiżdiedu wara, wieħed wieħed.

Ċavetti, indirizzi u l-uniku endpoint

Iġġenera par ċavetti fuq kull sistema u ċċaqlaq bejniethom biss in-nofsijiet pubbliċi. wg genkey | tee privatekey | wg pubkey > publickey hija l-kmand dokumentat ta' linja waħda, u jħalli ċ-ċavetta privata f'fajl li mbagħad tista' tipproteġi. Agħżel indirizzi tat-tunnel minn firxa li ma tidhirx fi kwalunkwe konfigurazzjoni oħra tiegħek, bħal 10.99.0.1/24 u 10.99.0.2/24. Ikteb liema indirizz jappartjeni lil liema magna, għax kull verifika aktar tard tiddependi minn dik il-mappa.

Iċ-ċavetti privati qatt ma jivvjaġġaw. Jekk test ikun jeħtieġ waħda kkupjata għan-naħa l-oħra, it-test diġà mar ħażin. Meta ż-żewġ sistemi jkunu wara NAT, mill-inqas wieħed jeħtieġ port UDP li jista' jintlaħaq filwaqt li l-ieħor iġorr Endpoint li jipponta lejh, u l-indirizz u l-port pubbliċi jappartjenu lin-noti tiegħek, mhux lill-assunzjonijiet tiegħek dwar 51820.

Port forward li jimmappa port estern differenti jaħdem tajjeb sakemm l-Endpoint jaqbel miegħu. Nuqqas ta' qbil hawn jipproduċi silenzju minflok żbalji, u għalhekk jiswa li tiċċekkjahom fuq il-karta qabel ma tagħmel debug fuq il-wire.

L-oqsma li jappartjenu lil wg u dawk li ma jappartjenux

Is-sett tal-oqsma ewlenin huwa żgħir: PrivateKey u ListenPort taħt Interface, PublicKey, AllowedIPs u Endpoint taħt Peer. Address u DNS jappartjenu lil wg-quick mhux lil wg innifsu, u dik id-differenza tgħodd fil-mument li l-istess konfigurazzjoni tiċċaqlaq għal għodda oħra.

[Interface]
PrivateKey = <peer-a-private>
Address = 10.99.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <peer-b-public>
AllowedIPs = 10.99.0.2/32
Endpoint = 203.0.113.10:51820

AllowedIPs iġorr żewġ xogħlijiet f'daqqa. Jagħżel liema destinazzjonijiet jidħlu fit-tunnel, u jawtorizza lill-peer biex juża dawk l-indirizzi tas-sors mal-wasla. Għalhekk id-dħul mera fuq in-naħa l-oħra jrid isemmi l-indirizz tat-tunnel tiegħek eżattament; /32 għall-peer ħażin jinqara bħala problema ta' routing u jġib ruħu bħala waħda ta' awtorizzazzjoni. Bidu mgħaġġel ta' WireGuard turi l-istess forma ta' żewġ peers bil-kliem kanoniku jekk trid tqabbel l-ismijiet tal-oqsma.

Aqra l-handshake minflok l-ikona

Erfa' l-interface permezz ta' dak li jippossjediha, imbagħad aqra l-istat minflok dawl tal-istatus. wg show jistampa l-aħħar handshake għal kull peer flimkien mal-kontaturi tal-bytes, u handshake fl-aħħar ftit minuti jfisser li ċ-ċavetti, l-endpoint u l-passaġġ UDP qed jaħdmu kollha. Kontatur li jiżdied biss f'direzzjoni waħda huwa t-tweġiba tiegħu nnifsu, u mhuwiex l-istess ħsara bħal handshake li qatt ma jseħħ.

Iż-żewġ ħsarat jimplikaw investigazzjonijiet differenti. Nuqqas sħiħ ta' handshake jindika nuqqas ta' qbil fiċ-ċavetti, Endpoint ħażin, UDP imblukkat jew firewall li jċaħħad il-handshake innifsu. Handshake li jirnexxi waqt li d-data ma tmur imkien jindika AllowedIPs, servizz li mhux qed jisma' fuq l-indirizz tat-tunnel, jew firewall tal-host li jaċċetta l-port għal-LAN imma mhux għall-interface tat-tunnel. Dawk huma nofsijiet differenti tas-sistema, u l-bażi tifridhom qabel ma tibda tbiddel regoli.

Tipprova servizz wieħed permess, imbagħad l-oppost

Ibgħat talba lejn l-indirizz tat-tunnel tal-peer l-ieħor fuq servizz li suppost iwieġeb, u agħżel xi ħaġa aħjar mill-ping. Tweġiba ICMP nieqsa tista' tkun filtrazzjoni tal-host u mhux ħsara tat-tunnel, għalhekk ping sieket ma jipprova ebda direzzjoni. Konnessjoni TCP ma' port li taf li huwa miftuħ, jew talba li tirritorna data, tagħtik tweġiba li tista' tinterpreta.

Mexxi d-direzzjoni opposta bħala test separat bir-riżultat tiegħu stess, għax iż-żewġ direzzjonijiet għandhom dħul separat tal-firewall u AllowedIPs u jistgħu jfallu b'mod indipendenti. Jekk il-handshake jaħdem u t-talba le, il-problema tinsab fil-passaġġ tad-data u mhux fit-tunnel: AllowedIPs, is-servizz li jisma' jew firewall tal-host. Sejjaħ dan qabel ma żżid il-forwarding, NAT jew DNS, inkella tqatta' l-warajiex tagħmel debug ta' karatteristika li qatt ma kienet il-ħtija.

Inżommu l-bażi bħala referenza

Issejvja t-topoloġija li taħdem u s-sors tal-profil f'post li minnu tista' tirrestawra, u żommhom 'il barra minn kull direttorju li jissinkronizza ma' servizz pubbliku. Imbagħad żid karatteristika waħda fid-darba, u erġa' għamel it-talba oriġinali wara kull waħda: forwarding, NAT, rotta LAN u biss imbagħad DNS. Kull żieda li tkisser it-test issa hija identifikabbli, għax xejn ieħor ma ċċaqlaq.

Bażi li tagħmel biss ikona ħadra ma qaltlek xejn dwar liema żieda kkawżat il-ħsara li jmiss. Żomm il-passaġġ waħdieni permess jaħdem bħala referenza, u kull bidla aktar tard titkejjel miegħu.