په WireGuard کې د کوربه پریفکس: ولې یو پته کار کوي او نور نه

تونل ولاړ دی، handshake هر دوې دقیقې واقع کېږي، او په بل اړخ کې یوازې یوه پته ځواب ورکوي. د همڅنګ د تونل پتې ته ping کار کوي؛ د هغې شاته هیڅ نه کار کوي. یو څوک د انټرفیس ترتیب لولي، د کوربه پریفکس ویني او پایله کوي چې ماسک غلط دی. هغه /24 ته پراخول ping د یوې مودې لپاره سمول او بیا بل څه ماتوي. پریفکس هېڅکله لامل نه و، او ورکه لاره هغه نه ده چې ماسک یې کنټرولوي.

د انټرفیس پریفکس په رښتیا څه جوړوي

په Linux کې انټرفیس ته د پتې ورکول د هغه پریفکس لپاره یوه نښلول شوې لار جوړوي. که د کوربه پریفکس ورکړئ، نښلول شوې لار یوه پته پوښي. که /24 ورکړئ، 256 پټې پوښي، او هر یو له هغو اوس د هغې اړیکې له لارې د رسېدو وړ ګڼل کېږي.

ip -4 addr show dev wg0
ip -4 route show dev wg0
ip route get 10.80.7.1

د کوربه پریفکس د نقطې-تر-نقطې تونل لپاره بشپړ نورمال انتخاب دی، ځکه چې په بل پای کې یوازې یو همڅنګ دی. درېیم حکم هغه دی چې د کاروونکي پوښتنې ته ځواب ورکوي: وایي کرنل به د هغې موخې لپاره کوم انټرفیس کاروي، او که هېڅ لار سمه نه وي، هیڅ ګټور نه ښیي.

دا د نښې بشپړه څرګندونه ده. یوه پته ځواب ورکوي ځکه چې د هغې لپاره نښلول شوې لار شته، یا ځکه چې د همڅنګ اجازه لرونکې لیست ناڅاپه هغه لري. نور هر څه لار نه لري او د WireGuard له دخیلېدو دمخه غورځول کېږي. تونل په ټول وخت کې روغ دی، ځکه د handshake شمېرونکی لا هم ډاډمن ښکاري.

AllowedIPs د یو نوم لاندې دوه قاعدې دي

په WireGuard کې د هر همڅنګ اجازه لرونکې لیست په یو وخت دوه کارونه کوي، او د ترتیب نحو دوی لکه یو ښکاره کوي. په ننوتلو کې اجازه ورکوي چې همڅنګ کومې سرچینې پتې وړاندې کولی شي. په وتلو کې غوره کوي چې کوم همڅنګ ته به بسته ولېږل شي، ترټولو ځانګړې سمون موندلو سره.

له دغو دوو کارونو هیڅ یو لارښوونه نه ده. کرنل لا هم باید پرېکړه وکړي چې بسته د تونل انټرفیس پورې اړه لري، مخکې له دې چې WireGuard ورته وګوري، او دا پرېکړه د لارښوونې له جدول څخه راځي. د پراخې اجازه لرونکې لیست سره د همڅنګ ثبت په خپله لار نه نصبوي.

ځکه ترتیب کېدای شي بشپړ ښکاره شي او ناهمغږه چلند وکړي. کلینټ بل اړخ ته لېږي ځکه چې لار شته، او ځوابونه هېڅکله نه رسیږي ځکه چې د بل اړخ اجازه لرونکې لیست د کلینټ سرچینه نه مني، یا ځکه چې بل اړخ د بېرته راستنیدو لار نه لري. دواړه لوري جلا پرېکړې دي جلا د ناکامۍ اندازونو سره. دا لیکل چې کوم یو ازموئ د تشخیص نیمه برخه ده.

لار له کومه راځي

که wg-quick کاروئ، لارې ستاسو لپاره د هر همڅنګ اجازه لرونکې لیست څخه جوړیږي، پرته له دې چې Table = off مو ټاکلی وي او کنټرول مو پخپله اخیستی وي. دا د اوزار مستنده چلند دی، او دا هغه لامل دی چې ولې پرته له روښانه لارښوونو هم ترتیب کار کوي.

sudo wg show wg0 allowed-ips
ip route show | grep wg0
sudo wg-quick strip wg0

اجازه لرونکې لیست له هغو لارو سره پرتله کړئ چې واقعاً شته. هغه همڅنګ چې ټوله فرعي شبکه اجازه ورکوي خو یوازې د کوربه لار یې جوړه کړې، مانا دا چې مرستندوی هېڅکله ونه چلېد، یا تاسو انټرفیس په مستقیم ډول د wg او ip سره اداره کوئ، او په دې حالت کې هیڅ شی ستاسو لپاره لارې نه جوړوي.

کله چې یې په لاس اداره کوئ، لار یوه کرښه ده او بڼه یې څرګنده: موخه د انټرفیس له لارې، پرته له ګېټوې ځکه چې اړیکه نقطه-تر-نقطه ده. د هغې اضافه کول د بد پریفکس لپاره منځلاری نه دی؛ دا د هغه ډیزاین ورکه نیمه برخه ده چې پخپله یې لارښوونه په غاړه واخیسته.

پراخ پریفکس د همڅنګ ثبت نه زیاتوي

هڅوونکې سمون دا ده چې پته /24 ته بدله کړو ترڅو نښلول شوې لار د سرور ځایي شبکه پوښي. داسې ښکاري چې کار کوي، او د دې ښکارېدو لامل دا دی چې نښلول شوې لار اوس سمون کوي، نه دا چې WireGuard څه نوي زده کړي.

هغه څه چې تاسو هم وکړل دا و چې ټوله ساحه مو د هغې اړیکې له لارې په مستقیم ډول د رسېدو وړ وګڼله، پکې هغه پتې چې نورو همڅنګونو یا هغې ځایي شبکې پورې اړه لري چې په رښتیا د سرور شاته ده. دې پتو ته ترافیک اوس تونل ته ننوځي، او دا چې بل اړخ ته به ووځي که نه، د سرور خپلې لارښوونې او اجازه لرونکو لیستونو پورې اړه لري.

د کوډ کولو اړخ په هېڅ حالت کې نه اغېزمن کېږي. WireGuard لا هم په اجازه لرونکې لیست کې هغه ثبت ته اړتیا لري چې موخه پوښي ترڅو همڅنګ وټاکي، او بل اړخ لا هم هغه ثبت ته اړتیا لري چې ستاسو سرچینه پوښي ترڅو یې ومني. پراخ انټرفیس پریفکس هیڅ یو هم نه شي برابرولی.

له هر بدلون دمخه دواړه لوري تایید کړئ

دواړه پایونه جلا جلا وګورئ او ولیکئ چې هر یو څه وایي. په کلینټ کې لار او د همڅنګ ثبت؛ په سرور کې د هندارې انځور او د هغه خپله بېرته راستنیدو لار:

ip route get 192.168.70.20
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo tcpdump -ni wg0 -c 10

نیول هغه څه دي چې د لوري په اړه شخړې حل کوي. که وتونکي بستې د تونل په انټرفیس ښکاره شي او سرور څه ثبت نه کړي، لرې پای هغه ردوي، معمولاً ځکه چې ستاسو سرچینه د هغه له اجازه لرونکې لیست بهر ده. که په بشپړ ډول هیڅ نه ښکاره شي، لار ورکه ده یا بل ځای ته اشاره کوي.

بیا تنګ پای سم کړئ. د سرور په اړخ کې د ستاسو د کلینټ پتې لپاره په اجازه لرونکې لیست کې ثبت او د کلینټ په اړخ کې د موخې فرعي شبکې لپاره ثبت نورماله بڼه ده، او انټرفیس پریفکس پرې نه ږدي. پریفکس یوازې هغه وخت پراخ کړئ چې د پتو پلان واقعاً په هغې اړیکه کې ګډه فرعي شبکه غواړي، او دا د تېروتنې د سمولو د ګام پرځای د پلان د بدلون په توګه وکړئ.