Tunnel sħiħ ta’ WireGuard: AllowedIPs 0.0.0.0/0 mhuwiex biżżejjed

It-tqegħid ta’ 0.0.0.0/0, ::/0 fl-AllowedIPs ta’ pari huwa l-pass li kulħadd jiftakar, u jiddeċiedi biss liema traffiku l-pari jista’ jġorr. Dawn il-prefissi ma joħolqu l-ebda rotta, ma jgħaddu xejn in-naħa l-oħra u jħallu r-resolver ta’ kull applikazzjoni eżatt fejn kien. Erba’ affarijiet separati jridu jkunu veri fl-istess ħin biex tunnel sħiħ ikun tassew sħiħ, u l-aħjar li jiġu ċċekkjati fl-ordni t’hawn taħt, għax verifika aktar tard ma tistax issalva waħda aktar kmieni. Kull verifika hawn taħt hija fatt li jinqara minn magna, mhux konfigurazzjoni li tittama li ġiet applikata.

X’jagħżel il-prefiss tal-pari, u x’ma jagħżilx

AllowedIPs huwa kemm selettur kif ukoll awtorizzazzjoni. Jgħid lin-naħa lokali liema destinazzjonijiet jistgħu jintbagħtu lil dan il-pari, u jgħid lin-naħa li tirċievi liema indirizzi sors dan il-pari jista’ jippreżenta. Dak ix-xogħol kollu. Xejn f’dik id-deskrizzjoni ma joħloq rotta fuq il-host, ma jattiva l-ħruġ fuq in-naħa remota, u ma jmiss ir-riżoluzzjoni tal-ismijiet.

Huwa għalhekk li konfigurazzjoni tista’ tidher sħiħa u tġib ruħha bħal tunnel maqsum. Il-prefiss jgħid li l-pari jkun jilqa’ kollox; it-tabella tar-rotot tal-host tiddeċiedi x’jasal hemm tassew, u l-gateway jiddeċiedi jekk xi ħaġa toħroġx. L-ebda waħda minn dawn it-tliet deċiżjonijiet ma tgħix fis-sezzjoni tal-pari.

Tirrotta l-klijent, mhux biss il-lista tal-pari

Maniġers bħal wg-quick jipprogrammaw it-tabella tar-rotot tal-host għalik, huwa għalhekk li żewġ fajls ta’ konfigurazzjoni identiċi jġibu ruħhom b’mod differenti skont kif tela’ l-interface. Profil minimu huwa qasir biżżejjed biex tinqrah darba waħda:

[Interface]
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = vpn.example.net:51820

Żewġ dettalji jġorru x-xogħol. Il-qasam Address huwa prefiss wieħed tal-host u mhux subnet li l-klijent jaħseb li jippossjedi, u l-maniġer huwa dak li jibdel l-AllowedIPs awtomatiku f’rotta awtomatika vera. Tellgħu l-istess fajl b’ ip link u wg setconf u mhi se tidher l-ebda rotta, li tidher bħal tunnel miksur u fil-fatt hija tunnel b’saħħtu bil-pass tar-rotot maqbuż. Il-manwal ta’ wg-quick jiddokumenta r-rotot u l-Table imġiba li jżidu dawn il-maniġers.

Aqra r-riżultat u mhux il-fajl: ip route get 1.1.1.1 għandu jsemmi l-interface tat-tunnel, u wg show għandu jirrapporta handshake reċenti b’counter tat-trasferiment li jiċċaqlaq. Handshake bla rotta jfisser li l-maniġer qatt ma ġera, u li terġa’ teditja l-profil mhux se jsewwi dan. Ibda l-interface kif se jibdiha l-utent, inkella t-test ikejjel il-shell tiegħek minflok id-deployment.

Iżżomm l-endpoint barra mit-tunnel

Tunnel sħiħ jaqbad kull destinazzjoni, inkluża dik li jrid jitkellem magħha biex jeżisti. Il-maniġers jittrattaw dan billi jżidu rotta tal-host għall-endpoint mill-gateway oriġinali, huwa għalhekk li konfigurazzjoni korretta kważi dejjem fiha eċċezzjoni waħda intenzjonata. L-applikazzjoni ta’ nofs il-konfigurazzjoni b’maniġer u n-nofs l-ieħor bl-idejn hija l-mod tas-soltu kif din l-eċċezzjoni tintilef.

Jekk l-endpoint huwa isem tal-host li jiġi riżolt f’diversi indirizzi, jew f’familja li ma ġġorrx, l-eċċezzjoni tixjieħ ħażin u t-tunnel jista’ jonqos wara qagħda mill-ġdid li dehret rutina. Iddiskja l-endpoint ma’ indirizz li tikkontrolla, jew ikkonferma li l-maniġer jevalwah mill-ġdid, u erġa’ aqra r-rotta tal-host wara kull bidla fix-xibka.

L-istess mekkaniżmu jispjega għaliex tunnel sħiħ u portal captive jiġġieldu. Il-portal jistenna li jaqbad it-traffiku li issa qed jaqbad it-tunnel tiegħek, għalhekk fuq xibkiet ta’ lukandi u ajruporti tellgħa t-tunnel wara l-login tal-portal, qatt qabel.

Il-ħruġ u l-mogħdija lura fuq il-gateway

Fuq il-gateway, ixgħel il-ħruġ għall-familja li ġġorr, ippermetti l-katina forward fiż-żewġ direzzjonijiet meta tittraduċi, u kkonferma l-mogħdija lura b’tfittix speċifiku għas-sors. Xejn minn dan ma joħroġ minn handshake li rnexxa, għax handshake biss jipprova li ż-żewġ pari jistgħu jbiddlu UDP. Ma jgħid xejn dwar x’jiġri wara l-pakkett dekapsulat.

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding
ip route get 1.1.1.1 from 10.8.0.2

It-tfittix iseħħ fuq il-gateway u mhux fuq il-klijent, inkella tkun qed taqra tabella tar-rotot oħra. Jekk jsemmi l-interface ħażina, jew jirrapporta li m’hemmx rotta, allura l-ebda bidla fuq in-naħa tal-klijent ma tipproduċi ħruġ tal-internet. Meta l-gateway jittraduċi l-indirizzi tal-klijenti fil-ħruġ, it-tweġiba tiddependi minn dak l-istat tat-traduzzjoni, għalhekk ir-regola trid teżisti għaż-żewġ direzzjonijiet tal-fluss u mhux biss għad-direzzjoni li toħroġ.

DNS u l-istat tal-falliment, ittestjati b’mod separat

Il-protokoll innifsu ma jikkonfigurax ir-resolver ta’ l-ebda applikazzjoni. wg-quick japplika l-linja DNS permezz tal-integrazzjoni tar-resolver tad-distribuzzjoni, containers u browsers bl-istacks tagħhom jistgħu jinjorawha, u għalhekk isem jista’ jonqos waqt li t-tunnel iġorr pakketti perfettament. Ittestja b’isem tal-host u mhux b’indirizz, u nnota liema server wieġeb minflok ma tassumi li wieġeb dak fil-profil.

Il-familji tal-indirizzi huma test separat b’tweġiba separata. Rotta awtomatika v4 ma tgħid xejn dwar x’se tagħmel il-konnessjoni v6 ta’ applikazzjoni, u tunnel li jnixxi l-familja tat-tieni waħda bil-kwiet huwa agħar minn wieħed li jonqos bl-għajjat. Staqsi isem fuq kull familja, aqra l-interface li użat kull talba, u ċċekkja l-counters tat-traduzzjoni qabel u wara, għax regola li ma taqbel ma’ xejn tidher identika għal regola nieqsa.

Fl-aħħar, ittestja l-istat li trid meta t-tunnel jieqaf. Tunnel sħiħ għandu jonqos magħluq għat-traffiku li jiddikjara: jekk l-interface tinżel u l-applikazzjonijiet ikomplu bil-kwiet fuq il-link fiżiku, id-disinn huwa tunnel maqsum b’passi żejda. Ikteb l-imġiba tal-falliment intenzjonata, iċċekkjaha deliberatament, u spiċċa billi tirreġistra l-erba’ tweġibiet — liema maniġer itella’ l-interface, liema rotta ġġorr dik awtomatika, min jgħaddi u jittraduċi fuq il-gateway, u liema resolver iwieġeb.