L-handshake ta' WireGuard jaħdem, imma s-subnet tal-uffiċċju ma tweġibx

L-handshake jitlesta, wg show jirrapporta trasferiment riċenti, u l-indirizz tat-tunnel tas-server iwieġeb ping. Host fuq il-LAN tas-server le. Tliet kundizzjonijiet iridu jseħħu fl-istess ħin: il-klijent irid jibgħat il-prefiss tal-LAN fit-tunnel, is-server irid jgħaddi l-pakketti 'l quddiem, u r-risposta teħtieġ passaġġ lura. Meta tkun nieqsa waħda mit-tlieta, is-sintomu huwa l-istess.

AllowedIPs huwa kemm lista ta' aċċess kif ukoll tabella tar-routing

Fuq il-klijent, il-lista AllowedIPs tiddeċiedi kemm x'jista' jintbagħat lil dak il-peer kif ukoll liema rotot jinstalla WireGuard. Entrata tal-peer li telenka biss l-indirizz tat-tunnel tas-server tinstalla rotta waħda tal-host, għalhekk id-destinazzjonijiet tal-LAN qatt ma jidħlu fit-tunnel. Iż-żieda tal-prefiss tal-LAN hija l-ewwel ħaġa li trid tiġi vverifikata, u hija wkoll il-bidla li l-aktar ta' spiss tonqos wara konfigurazzjoni kkupjata. Peer imwessa' għal rotta awtomatika huwa disinn differenti, u se jċaqlaq ukoll it-traffiku tal-internet tal-klijent.

Żomm ir-rotta tal-host u l-prefiss tal-LAN bħala entrati separati. Jekk l-uffiċċju għandu żewġ subnets, it-tnejn jappartjenu għal-lista, u t-tieni prefiss nieqes jipproduċi falliment li jidher selettiv aktar milli totali.

[Peer]
PublicKey = <server public key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.66.0.1/32, 192.168.50.0/24

Il-forwarding u t-traduzzjoni jappartjenu lis-server

Is-server jeħtieġ forwarding tal-IP attivat, regola ta' forwarding li taċċetta traffiku li ġej mit-tunnel, u regola ta' traduzzjoni lejn l-interface tal-LAN tiegħu. It-traduzzjoni hija dik li tagħmel id-disinn jaħdem mingħajr ma tmiss kull host fuq in-netwerk tal-uffiċċju. Imbagħad ir-risposti jmorru lura lejn is-server minflok lejn indirizz li l-LAN qatt ma sema' bih. Mingħajrha, kull host jeħtieġ rotta għas-subnet tat-tunnel u regola tal-firewall li tippermettiha, li rari tkun aċċettabbli fuq netwerk li jmexxi ħaddieħor.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Regoli miżjuda bl-idejn jisparixxu mal-boot mill-ġdid, għalhekk orbtihom mal-interface bil-kmandi hook fil-konfigurazzjoni tas-server. Sett ta' regoli li jgħix itwal mill-interface tiegħu huwa kif magna tispiċċa tittraduċi traffiku għal tunnel li ma jibqax jeżisti.

Meta l-LAN marret u r-regola le

Is-sostituzzjoni tar-router li jerġa' jinnumera s-subnet tal-uffiċċju hija l-verżjoni klassika ta' dan il-falliment. It-tunnel jibqa' attiv, l-handshake jibqa' frisk, u xejn wara s-server ma jwieġeb, għax ir-regola tat-traduzzjoni għadha ssemmi l-indirizz il-qadim. L-iskripts tal-installazzjoni spiss iħalltu l-indirizz tal-LAN tas-server f'regola POSTROUTING, u wara n-numerazzjoni mill-ġdid dak l-indirizz ma jeżistix fuq l-ebda interface. Il-pakketti mbagħad jerġgħu jinkitbu lejn destinazzjoni li ma tistax twieġeb.

iptables -t nat -n -L POSTROUTING
ip -br addr show

Qabbel iż-żewġ outputs. Mira tat-traduzzjoni li ma tidhirx fil-lista tal-interfaces hija l-bug, u li tissewwa hija bidla ta' linja waħda ladarba tkun rajtha. Ir-regola tista' tgħix f'unit ġġenerat minflok fil-konfigurazzjoni ta' WireGuard, għalhekk erġa' għabbi dak l-unit wara l-editjar u kkonferma li l-boot li jmiss ma jerġax jikteb il-bidla tiegħek.

Żewġ siti wara NAT għandhom bżonn post fejn jiltaqgħu

Meta l-ebda naħa ma taċċetta konnessjonijiet deħlin, it-tweġiba prattika hija host żgħir b'indirizz pubbliku u żewġ interfaces ta' WireGuard. Kull sit jikkonnettja 'l barra, il-host tan-nofs jelenka l-LAN ta' kull peer fil- AllowedIPs, jiġifieri l-lista tiegħu stess, u l-forwarding iġorr pakketti bejn iż-żewġ tunnels. Xejn fil-firewall ta' ebda sit ma għandu jinbidel, u għalhekk dan id-disinn jinfirex faċilment.

Ir-routing bejn is-siti jżomm l-indirizzi tas-sors oriġinali u għalhekk iżomm il-logging għal kull host sinifikanti. It-traduzzjoni fuq il-host tan-nofs hija aktar sempliċi meta ż-żewġ LANs jikkoinċidu, iżda bi prezz li tintilef l-identità tas-sors fil-logs. Iddeċiedi liema proprjetà hija importanti qabel tagħżel.

Issepara s-saffi b'erba' verifiki

Agħmel verifika waħda għal kull saff minflok tibdel tliet affarijiet u tittama. L-ewwel turi l-età tal-handshake u l-counters għal kull peer. It-tieni turi jekk il-klijent verament jibgħatx dik id-destinazzjoni fit-tunnel. It-tielet u r-raba' jgħidulek jekk it-talba waslitx u jekk xi politika waqqfitx wara l-wasla.

wg show
ip route get 192.168.50.20
tcpdump -ni wg0 icmp
iptables -vnL FORWARD --line-numbers

Talba li tasal u ma ġġib l-ebda risposta tipponta lejn il-passaġġ tar-risposta jew lejn il-host tal-LAN. Talba li qatt ma tasal tipponta lejn AllowedIPs jew lejn ir-rotta tal-klijent. Dawn iż-żewġ riżultati jeħtieġu tiswijiet differenti, u l-capture hija dik li tiddistingwihom.