WireGuard fi spazju tal-isem tan-netwerk: għaliex is-socket baqa’ lura

L-interface hija elenkata fl-ispazju tal-isem li ridt, l-applikazzjoni hija marbuta magħha, u xorta qatt ma jidher traffiku tat-tunnel. Din hija l-firma ta’ apparat WireGuard fil-qalba ta’ Linux li nħoloq f’spazju tal-isem wieħed u tċaqlaq għal ieħor: l-interface ċċaqalqet u s-socket UDP encrypted tagħha ma ċċaqalqitx. It-tnejn iridu jkunu fil-post it-tajjeb qabel it-traffiku intern ikollu importanza. Il-verifika hija mgħaġġla ladarba tkun taf li trid tħares lejn żewġ kuntesti minflok wieħed.

Is-sintomu: spazju tal-isem korrett, ebda pakketti

Ġewwa l-ispazju tal-isem it-tunnel jidher f’saħħtu. L-apparat jeżisti, l-indirizzi huma assenjati, u l-konfigurazzjoni tal-pari hija preżenti. Barra, l-iskambju UDP mistenni qatt ma jidher fuq l-interface li kont qed tħares lejha, u n-naħa l-oħra tirrapporta li ma sar ebda handshake.

Ir-raġuni hija li l-pakketti interni tal-applikazzjoni jaslu għall-apparat imċaqlaq, u l-apparat jipprova jibgħathom permezz ta’ socket li tappartjeni għal kuntest tan-netwerk differenti. Ir-rotta sottostanti li tuża, u kull regola tal-firewall li tapplika għaliha, huma dawk fl-ispazju tal-isem fejn inħoloq l-apparat.

Dan mhuwiex difett fiċ-ċaqliq u lanqas konfigurazzjoni żbaljata tal-pari. Hekk taħdem l-implimentazzjoni tal-qalba, u d-dokumentazzjoni tal-ispazji tal-isem għal WireGuard tiddeskrivi direttament ir-regola tal-ħolqien.

Għaliex is-socket għandha post tat-twelid

Apparat WireGuard għandu socket UDP wieħed għat-trasport encrypted tiegħu, u dan is-socket jinfetaħ fl-ispazju tal-isem fejn jinħoloq l-apparat. Iċ-ċaqliq tal-interface b’kmand tal-link iċċaqlaq l-apparat viżibbli iżda jħalli t-trasport fejn beda. Imbagħad iż-żewġ oġġetti għandhom sidien differenti.

Il-konsegwenza hija faċli li tintilef għax iż-żewġ nofsijiet jiġu eżaminati f’postijiet differenti. Ir-rotta interna tiġi deċiża fl-ispazju tal-isem fejn taħdem l-applikazzjoni, u r-rotta esterna tiġi deċiża fejn tgħix is-socket. Li tivverifika waħda biss tagħti konklużjoni kunfidenti iżda żbaljata. Li tivverifika t-tnejn normalment itemm l-investigazzjoni f’pass wieħed.

Oħloqha fejn trid is-socket

Is-soluzzjoni hija li toħloq l-apparat ġewwa l-ispazju tal-isem fil-mira minflok toħolqu barra u tċaqlaqha. Jekk nassumu li spazju tal-isem approvat diġà jeżisti u l-isem mhuwiex użat:

ip netns exec vpn-apps ip link add wg-demo type wireguard
ip netns exec vpn-apps wg show

Issa kemm l-interface kif ukoll is-socket tagħha jappartjenu għal dak il-kuntest, għalhekk ir-rotta sottostanti u r-regoli tal-filtrazzjoni applikabbli huma dawk konfigurati hemmhekk. Jekk id-disinn jeħtieġ in-naħa ċara x’imkien ieħor, poġġi l-ewwel l-interface sottostanti fl-ispazju tal-isem u mbagħad oħloq it-tunnel. L-ordni hija parti mid-disinn, mhux dettall tal-implimentazzjoni.

Ittrattahom bħala kmandi tal-amministrazzjoni tan-netwerk, mhux bħala riċetta. Huma joħolqu apparat u juru l-istat; ċwievet, pari, indirizzi u rotot xorta iridu jiġu minn konfigurazzjoni approvata, u interface tal-produzzjoni eżistenti qatt m’għandha tiġi sostitwita f’eżempju.

Aqra ż-żewġ naħat tal-passaġġ

Meta l-apparat ikun fil-post it-tajjeb, ivverifika ż-żewġ deċiżjonijiet separatament. Ibda bit-tfittxija interna mill-kuntest tal-applikazzjoni, imbagħad iċċekkja l-passaġġ estern mill-kuntest li jippossjedi s-socket:

ip netns exec vpn-apps ip route get 10.30.0.9
ip netns exec vpn-apps wg show
tcpdump -ni any udp port 51820

Jekk it-tfittxija interna tiġi solvuta permezz tat-tunnel u l-qabda esterna turi l-iskambju encrypted, iż-żewġ nofsijiet jaqblu. Jekk il-qabda hija vojta, is-socket għadha x’imkien ieħor, jew ir-rotta sottostanti fl-ispazju tal-isem tagħha ma tilħaqx il-punt tat-tmiem.

Verifika oħra tappartjeni għar-rekord: kif jinħoloq l-apparat wara restard. Maniġer li jerġa’ joħloq l-interface b’kuntest tal-ħolqien differenti jbiddel il-post tat-twelid tas-socket. Ċaqliq manwali li ħadem darba mhuwiex prova dwar il-passaġġ immaniġġjat.