WireGuard: żewġ nofs rotot kontra 0.0.0.0/0 fi wg-quick

Żewġ prefissi /1 ikopru eżattament l-istess indirizzi IPv4 bħal prefiss wieħed /0, u dik l-ugwaljanza tgħodd biss ġewwa l-lista tal-prefissi permessi tal-peer. Tieqaf tgħodd fil-mument li l-għodda tas-setup tiddeċiedi kif għandha t-triq, għax Linux wg-quick jittratta prefiss default bħala każ speċjali u mhux bħala aritmetika. Il-fergħa speċjali tinstalla tabella dedikata, żewġ regoli tal-politika, marka tas-socket u settings tal-mogħdija lura li par nofs rotot qatt ma jirċievi. Għalhekk meta proxy jew browser jieqaf jaħdem wara l-bidla, il-prefissi huma l-inqas parti interessanti tal-bidla.

Il-lista tal-prefissi mhijiex il-konfigurazzjoni kollha

AllowedIPs jagħmel żewġ xogħlijiet f’daqqa, u waħda biss minnhom hija dwar il-kopertura. Għal WireGuard innifsu l-lista hija routing b’ċavetta kritto: tiddeċiedi liema destinazzjonijiet huma encrypted lejn peer u liema indirizzi tas-sors jista’ juża dak il-peer. Għal wg-quick l-istess lista sservi wkoll bħala speċifikazzjoni tar-rotot, u r-rotta li tipproduċi tiddependi minn liema fergħa l-lista taqa’ fiha. Kopertura identika f’żewġ forom differenti ta’ lista għalhekk ma tgħid xejn dwar stat identiku tal-host.

Il-konfigurazzjoni default tieħu dik id-deċiżjoni minn idejk, għax Table huwa awtomatiku bħala default u l-għodda tagħżel fejn jinżlu r-rotot. Manager tan-netwerk ieħor, involukru tad-distribuzzjoni jew valur Table personalizzat jerġgħu jbiddlu r-riżultat, u għalhekk parir miktub għal host wieħed jista’ jidher żbaljat fuq dak li jmiss.

X’żżid il-fergħa default lil hinn minn rotta

Entrata /0 tibgħat lil wg-quick fil-mogħdija tar-rotta default tiegħu: tabella tal-routing separata tirċievi d-default, regola waħda tal-politika tibgħat traffiku bla marka hemmhekk, it-tieni regola żżomm rotot aktar speċifiċi tat-tabella prinċipali bħala awtorevoli, u l-interface tirċievi marka tal-firewall fuq is-socket tagħha stess. Dik il-marka hija l-gwardjan tal-linja. Id-datagrammi encrypted li jġorru t-traffiku tal-mina joħorġu bil-marka stabbilita, biex ir-regola li tibgħat kollox ieħor fil-mina ma tibla’x il-pakketti tat-trasport tal-mina stess.

Minflok, par entrati /1 jieħdu l-mogħdija normali. Żewġ rotot jinżlu fit-tabella kkonfigurata, u xejn mill-makkinarju ta’ madwar ma jidher, mhux għax huwa bla bżonn iżda għax dik il-mogħdija tal-kodiċi qatt ma ntużat.

Fejn iż-żewġ arranġamenti jiddiverġu

Id-diverġenza tidher l-ewwel bħala rekursjoni. Bid-nofs rotot fit-tabella prinċipali, l-indirizz tat-trasport tal-peer innifsu jaqa’ ġewwa prefiss tal-mina, u għalhekk il-pakkett li suppost iġorr il-mina jaqbel ma’ rotta li tindika ġewwa l-mina. Xi ħaġa trid teħilsu: rotta tal-host għall-punt tat-tmiem attwali, marka applikata bl-idejn jew regola speċifika għall-interface. Rotta tal-host taħdem sakemm jinbidel l-indirizz tal-punt tat-tmiem, li jiġri ma’ punti tat-tmiem ibbażati fuq DNS, klijenti roaming u konfigurazzjonijiet b’ħafna peers.

It-tieni nett, kull ħaġa li tiddeduċi dwar il-marki tbiddel l-imġiba. Proxy trasparenti li jerġa’ jidderieġi konnessjonijiet b’mod lokali joħloq sockets ġodda li l-marki u s-sorsi tagħhom huma differenti mill-fluss oriġinali tal-klijent, u r-regoli tal-politika li jiġġenera l-fergħa default kienu parti minn dak li qasmet dawk il-flussi. Li taqra l-konnessjoni tal-ħruġ tal-proxy stess hija eżerċizzju differenti milli tittestja jekk id-destinazzjoni oriġinali tistax tinqabad.

Aqra r-regoli u l-marki qabel ma tagħmel bidliet

Aqbad l-istat attwali waqt li l-mina tkun f’saħħitha, imbagħad għal darb’oħra wara l-bidla, u qabbel iż-żewġ outputs minflok ma tiddeduċi mill-fajl tal-konfigurazzjoni. Inkludi r-regoli tal-politika, kull tabella, il-marka tal-interface u l-punti tat-tmiem irreġistrati.

ip rule show
ip -4 route show table all | grep -E 'default|wg1'
wg show wg1 fwmark
wg show wg1 endpoints

Jekk l-ewwel linja tal-output tilfet ir-regola għat-traffiku bla marka u t-tabella dedikata hija vojta, il-fergħa default mhijiex qed taħdem u l-ebda aritmetika tal-prefissi mhija se treġġa’ l-effetti tagħha. Marka ta’ żero fuq interface li qabel kellha waħda hija l-istess sinjal, viżibbli f’valur wieħed.

Ipprattika t-telf tal-mina qabel ma toħroġ

Jekk it-tqassim tan-nofs rotot hija l-għażla deliberata, dan irid jipprovdi b’mod espliċitu l-partijiet nieqsa: mogħdija tal-punt tat-tmiem li tgħaddi minn bidliet tal-indirizzi, l-imġiba maħsuba meta l-mina taqa’ u trattament ekwivalenti għal IPv6. Ikteb dan bħala rekwiżiti minflok ma tiskoprih waqt interruzzjoni. Imbagħad ipprattika l-falliment, għax mina sħiħa li taqa’ b’mod sieket lura fuq il-link fiżika hija agħar minn waħda li tieqaf taħdem.

sudo ip -4 route add 198.51.100.20/32 via 192.0.2.1 dev eth0
ip -4 route get 198.51.100.20
sudo wg-quick down wg1

Ir-riċerka tar-rotta għandha ssolvi l-punt tat-tmiem mill-interface fiżika mingħajr ma taqsam il-mina, u l-interface imniżżla għandha tħalli l-host fl-istat li wiegħed id-disinn. Proxy li jaħdem wara s-sostituzzjoni jipprova li l-istat tal-host iġġenerat kien importanti; ma jippruvax li l-prevenzjoni tal-linja u l-imġiba fl-istat mitfi għaddew mill-bidla.