AllowedIPs एउटा राउटिङ सूची हो, फायरवाल नियम होइन

अधिकांश मानिसहरू AllowedIPs लाई अनुमति सूचीका रूपमा पढ्छन्, अर्थात् पियरसँग जोडिन सक्ने ठेगानाहरूको समूह, लगभग सुरुङका लागि लेखिएको फायरवाल नियमजस्तै। त्यस्तो होइन। यो फिल्ड दुवै दिशामा काम गर्ने राउटिङ तालिका हो: यसले बाहिर जाने प्याकेटका लागि पियर छान्छ र भित्र आउने प्याकेटको स्रोत प्रमाणित गर्छ। यसलाई पहुँच सूचीका रूपमा पढ्दा कसैले नमागेको ट्राफिक रुट गर्ने कन्फिगरेसनहरू बन्छन्।

एउटा फिल्ड, दुई पाठक: बाहिर जाने छनोट र स्रोत जाँच

क्लाइन्टमा, प्रिफिक्सहरूले कुन गन्तव्यहरू त्यो पियरतिर जान्छन् र कुन सामान्य सञ्जालमा रहन्छन् भन्ने निर्धारण गर्छन्। त्यसैले 0.0.0.0/0 का लागि प्रविष्टिले हरेक IPv4 गन्तव्य समात्छ, र त्यसैले पूर्ण सुरुङ प्रोफाइल आयात गर्दा सामान्य ब्राउजिङ टाढाको मेसिनबाट जान्छ। साँघुरा प्रविष्टिहरूले उल्टो गर्छन्: तपाईंले सूचीबद्ध गरेका सञ्जालहरू मात्र रुट गर्छन् र बाँकी सबै जहाँ थियो त्यहीँ छोड्छन्। WireGuard कागजातको क्रिप्टोकी राउटिङ खण्ड ले दुवै काम एकै ठाउँमा बताउँछ: बाहिर जाने पियरको छनोट र भित्र आउने स्रोतको प्रमाणीकरण।

सर्भरमा, त्यही फिल्डले प्रत्येक पियरले प्रयोग गर्न सक्ने स्रोत ठेगानाहरू वर्णन गर्छ। यो प्याकेट फिल्टर होइन, क्रिप्टोग्राफिक जाँच हो: जसको भित्री स्रोत पियरको सूचीसँग मेल खाँदैन त्यो प्याकेट होस्टको कुनै पनि फायरवालले देख्नुअघि WireGuard भित्रै खारेज गरिन्छ। दुवै कामले एउटै सूची साझा गर्छन्, र त्यसैले अन्तैबाट प्रतिलिपि गरिएको सूची तपाईंले विचार नगरेको ठाउँमा गलत व्यवहार गर्छ।

क्लाइन्ट ब्लक त्यही ठाउँ हो जहाँ यो अधिकांश भ्रम सुरु हुन्छ। विभाजित सुरुङले टाढाका सञ्जालहरूको नाम दिन्छ, र पूर्ण सुरुङ त्यही फिल्ड हो जसमा पूर्वनिर्धारित प्रिफिक्स हुन्छ:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

दुवै रूप आफैंमा पूर्ण छन्, र ती चरणहरू होइनन्, विकल्पहरू हुन्। पहिलोले ती दुई सञ्जाल मात्र सुरुङबाट पठाउँछ; दोस्रोले हरेक गन्तव्य पठाउँछ, र ::/0 प्रविष्टिले IPv4 पूर्वनिर्धारितमा IPv6 थप्छ। तपाईंले जुनसुकै छान्नुहोस्, wg-quick ले रुट स्थापना गर्न थालेपछि ती प्रिफिक्सहरू त्यो पियरका लागि सम्पूर्ण राउटिङ निर्णय हुन्।

हबलाई फरक सूची चाहिन्छ

हबले प्रत्येक क्लाइन्टको सुरुङ ठेगाना होस्ट प्रिफिक्सका रूपमा सूचीबद्ध गर्छ, साथै त्यो क्लाइन्टको पछाडि साँच्चै रहेको कुनै पनि सञ्जाल। क्लाइन्टको फराकिलो सूची हरेक हब पियरमा प्रतिलिपि गर्दा हबलाई धेरै पियरहरूले एउटै ठेगाना स्रोतका रूपमा प्रयोग गर्न सक्छन् भनिन्छ, र त्यो ठेगाना योजना होइन। Endpoint फिल्ड पूरै अर्को तहको हो: यसले पियरको बाहिरी ठेगाना र पोर्ट बताउँछ, कहिल्यै सुरुङभित्रको गन्तव्य होइन।

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

होस्ट प्रिफिक्सले सुरुङ ठेगाना बोक्छ र सञ्जाल प्रिफिक्सले क्लाइन्टको पछाडि रहेको कुरा बोक्छ, र दुवै आवश्यक छन्। होस्ट प्रिफिक्स बिना हबले क्लाइन्टको आफ्नै ट्राफिक फर्काउन सक्दैन, र सञ्जाल प्रिफिक्स बिना त्यसको पछाडिको LAN पुग्न नसक्ने रहन्छ; पछाडि केही नभएको पियरले होस्ट प्रिफिक्स मात्र पाउँछ।

रुट स्थापना छोड्दा खाडल रहन्छ

wg-quick, कन्फिगरेसन फाइलबाट इन्टरफेस उठाउने सहायक, त्यो कामको भागका रूपमा इन्टरफेस ठेगाना र रुटहरू स्थापना गर्छ। Table = off सेट गर्दा सहायकलाई रुटको काम छोड्न भनिन्छ, जसले विकल्पहरू स्थापना गर्दैन र निजी सञ्जाल पहुँचयोग्य बनाउँदैन। जब स्वचालित रुटहरूले काम गरिसकेका छन्, आवश्यक प्रिफिक्सहरूको नाम दिनु बढी स्पष्ट कन्फिगरेसन हो। रुट व्यवस्थापन बन्द गरेर विकल्प नलेखी छोड्नु डिजाइन होइन, त्यो एउटा छुट हो।

आधारभूत wg उपकरण फरक व्यवहार गर्छ: यसले इन्टरफेस कन्फिगर गर्छ र रुटलाई कहिल्यै छुँदैन, त्यसैले यसैमाथि सिधै बनाइएको सेटअपलाई आफ्नै रुट आदेशहरू चाहिन्छ। एउटा उपकरणका लागि लेखिएका निर्देशनहरू अर्कोसँग पछ्याउँदा गलत देखिन सक्छन्। सफल ping पनि कमजोर प्रमाण हो, किनभने यसले तपाईंलाई चाहिने हरेक अनुप्रयोग मार्गको सट्टा एउटा मात्र मार्ग परीक्षण गर्छ।

DNS र IPv6 छुट्टाछुट्टै निर्धारण हुन्छन्

सुरुङले घोषणा गर्ने DNS सर्भर ठेगाना जाँच्नुहोस्, र तपाईंले छानेका प्रिफिक्सहरूमार्फत त्यो ठेगानासम्म रुट छ भनी पुष्टि गर्नुहोस्। रिजोल्भर सेटिङले रिजोल्भरलाई पहुँचयोग्य बनाउँदैन, र सुरुङ साँघुरो बनाउँदा त्यहाँ जाने रुट चुपचाप हट्न सक्छ। IPv6 पनि छुट्टै जाँच्नुहोस्, किनभने सही IPv4 विभाजनले अझै भौतिक लिङ्कतिर देखाउने IPv6 पूर्वनिर्धारित रुटबारे केही भन्दैन। एउटा पियर ब्लक सम्पादन गर्दा तीन फरक निर्णय एकैचोटि बदलिन सक्छन्।

त्यसपछि ज्ञात सुरुवाती कन्फिगरेसनबाट एउटा निजी स्रोत र एउटा साधारण वेबसाइट खोल्नुहोस्। स्रोतले जवाफ दिएमा र ब्राउजिङ अझै स्थानीय जडानबाट बाहिर जान्छ भने, विभाजनले तपाईंले मागेको काम गर्छ। त्यही क्षणमा ब्राउजिङ बिग्रियो भने, सुरुङले पूर्वनिर्धारित रुट लिएको छ र प्रिफिक्स सूची नै हेर्नुपर्ने ठाउँ हो।