Żewġ peers WireGuard jaqsmu firxa: min jirċievi l-pakkett
Firxiet li jikkoinċidu jiġu solvuti mill-prefiss l-aktar speċifiku, mhux mill-ordni. Iċċekkja l-rotta l-ewwel, imbagħad il-lista tal-peers, qabel ma twessa’ xejn.
Żewġ peers jelenkaw firxiet li jmissu ma’ xulxin, u t-traffiku jasal għand il-ħażin. Xejn mhu kkuppjat: WireGuard jagħżel peer billi jqabbel id-destinazzjoni mal-firxiet ikkonfigurati, u tirbaħ l-aqwa qbil speċifiku. Qabel ma twessa’ xejn, iddeċiedi liema peer suppost għandu liema prefiss.
L-itwal prefiss jirbaħ ġewwa WireGuard
Kull entrata peer iġġorr sett ta’ prefissi tad-destinazzjoni. Meta pakkett jiġi routed fl-interface, l-implimentazzjoni tfittex l-entrata bl-aktar prefiss speċifiku li jaqbel — l-istess regola li tapplika tabella tar-routing. Għalhekk /24 jegħleb /16 li jkun fih, u l-peer aktar dejjaq jirċievi t-traffiku.
Setups road-warrior jużaw dan apposta. Peer wieħed għandu firxa wiesgħa għal sit, u hosts individwali jinqatgħu b’entrati /32 li jappartjenu għal peers oħra. Il-mudell jaħdem għax il-qatgħat huma aktar speċifiċi, mhux minħabba l-ordni.
Ikteb is-sjieda bħala tabella ta’ prefiss u peer. Jekk żewġ entrati jiddeskrivu l-istess prefiss, il-konfigurazzjoni m’għadhiex tesprimi intenzjoni, qed tesprimi tellieqa.
Is-sistema operattiva tagħżel l-interface l-ewwel
WireGuard jagħżel biss fost il-peers fuq interface waħda. Liema interface tirċievi l-pakkett jiġi deċiż qabel, mit-tabella tar-routing tal-host, u t-tieni rotta default jew rotta antika tista’ tibgħat it-traffiku fejn il-lista tal-peers qatt ma tarah. Għalhekk dijanjosi fil-livell tal-peer tista’ tkun korretta u xorta ma tispjegax il-ħsara. Iċċekkja r-rotta lejn id-destinazzjoni qabel taqra l-konfigurazzjoni tal-peer, għax rotta li tipponta lejn l-interface fiżika taqbeż il-kwistjoni kollha.
L-għodda normalment tinstalla dawk ir-rotot mill-firxiet tal-peers, li jfisser li bidla fil-lista ta’ peer wieħed tista’ b’mod sieket terġa’ ddawwar traffiku li qabel kien ta’ ieħor. Għalhekk l-editjar ta’ peer huwa bidla fir-routing b’libsa. Irrevedi t-tnejn flimkien, inkella ssewwi wieħed u tkisser l-ieħor.
Paketti deħlin jiġu ċċekkjati mis-sors
Il-lista tal-firxiet tagħmel xogħol doppju. Għat-traffiku ħiereġ tagħżel peer bid-destinazzjoni, u għat-traffiku dieħel tawtorizza indirizz tas-sors. Pakkett li jasal minn indirizz barra l-firxiet ta’ dak il-peer jiġi skartat qabel ma jarah xi firewall.
Din l-asimmetrija hija faċli li taqbiżha meta taqra naħa waħda tal-konfigurazzjoni. Peer li jista’ jilħaq subnetwork mhuwiex b’hekk awtorizzat jibgħat minn dak is-subnetwork, u ż-żewġ direzzjonijiet huma infurzati minn kontrolli differenti.
Sjieda dejqa tas-sors tibdel dan f’vantaġġ. Agħti lil kull peer /32 għall-indirizz tiegħu stess u l-firewall ’l isfel ikollu sors affidabbli x’iqabbel, minflok firxa tal-grupp kollu li kwalunkwe membru jista’ jippretendi.
Firxiet duplikati mhumiex failover
L-assenjazzjoni tal-istess prefiss lil żewġ peers ma toħloqx load balancer jew mogħdija standby. M’hemmx verifika tas-saħħa u m’hemmx affinità tas-sessjoni: l-entrata rebbieħa tiġi deċiża mill-ordni interna tal-implimentazzjoni, li mhijiex kuntratt li għandek tiddisinja fuqu. Jekk għandek bżonn ħruġ alternattivi, esprimihom fejn is-selezzjoni hija definita. Politika tar-routing, metrika, jew par prefissi distinti b’sid dokumentat għal kull wieħed jipproduċu mġiba li tista’ tbassar u tittestja.
It-twessigħ ta’ firxa biex tissewwa ħsara mhux relatata huwa l-iżball komuni l-ieħor. Iwarrab it-traffiku mill-peer li kien qed jaħdem, u s-sintomu l-ġdid jasal qabel ma jkun mifhum il-qadim.
Ivverifika s-selezzjoni qabel ma teditja
Tliet kmandi jwieġbu t-tliet mistoqsijiet fl-ordni. L-ewwel telenka l-firxiet li jippretendi kull peer. It-tieni turi liema interface l-host juża għal destinazzjoni. It-tielet turi l-istat ħaj tal-peers wara li t-traffiku jkun għadda.
wg show wg0 allowed-ips ip route get 10.66.8.20 wg show wg0 ip rule show
Mexxihom qabel u wara bidla u qabbel. Jekk l-output tar-rotta nbidel imma t-traffiku għadu jasal għand il-peer ħażin, il-listi tal-prefissi jikkoinċidu b’mod li għadek ma kitbitux. Jekk l-output tar-rotta ma nbidilx, il-konfigurazzjoni tal-peer qatt ma kienet dik li ġiet ikkonsultata.
Irreġistra t-ticket id-destinazzjoni, l-interface magħżula u l-peer magħżul. Dak it-tliet huwa dak li jagħmel koinkidenza reviżabbli aktar tard, u huwa ferm aktar utli minn screenshot tal-konfigurazzjoni.