IPIP gudaha WireGuard: 20ka byte ee dheeraadka ah ee qofna aan miisaaniyadda ku darin

Ping-yo yaryar ayaa maalinta oo dhan tunnel-ka dhex mara, banner-ka SSH ayaa yimaada, ka dibna fadhiga wuu qabtaa isla marka wareejinta faylku bilaabmo. Qaabkani wuxuu tilmaamayaa miisaaniyad byte oo lagu tiriyey lakab khaldan, halkaas oo tunnel-ka dibadda loo qiyaasay kharashkiisa u gaar ah oo aan cidna ka jaray kii gudaha. Xirmada IPIP ee dhex galay waa uun xirmo IP kale marka WireGuard la eego, taasina waa sababta ay u isticmaasho byte aadan waligaa kaydsan. Sixitaanku waa xisaab, wuxuuna ku habboon yahay saddex amar iyo hal shax.

Calaamadda taas oo daaha ka qaadda

Dhibaatada fragmentation waxay isku dhawaaqdaa cabbirka, waligeed cinwaannada ma aha. Saaxiibkaagu wuxuu ka jawaabaa ping 56 byte muddo saacad ah ka dibna wuu aamustaa 1400 byte, iyadoo tunnel-ku kor yahay oo aan waddo beddelmin. Gacan-qabsigu wuu galaa, daaqadda TCP buuxa ee ugu horreysa ma gasho, wareejintuna way istaagtaa dhawr ilbiriqsi ka dib markii ay u muuqatay caafimaad qabta.

Cabbir saqafka ka hor intaadan wax wax ka beddelin, waayo saqaf aan la cabbirin waa kan aad laba jeer eryan doonto. Dir hal probe oo ka hooseeya cabbirka la tuhunsan yahay iyadoo bit do-not-fragment-ku daaran yahay, ping -M do -s 1000 10.9.0.2, ka dibna ku celi cabbir aad hore u taqaan inuu aad u weyn yahay. Marka rogaallada ay raacdo cabbirka xamuulka iyadoo meesha loo socdo aan isbeddelin, wadista ayaa qabanayaa shaqadeeda oo miisaaniyadda ayaa ka maqan hal madax.

Tiri madax kasta hal mar, lakabka saxda ah

Ka bilow MTU-ga ugu yar ee waddada halkii aad ka bilaabi lahayd interface-ka tunnel-ka, waayo derbiga wuxuu ka sarreeyaa labada daraf. WireGuard wuxuu ku qaataa 60 byte gaadiidka dibadda IPv4: 20 IP, 8 UDP iyo 32 madaxiisa u gaar ah, iyo 80 byte marka gaadiidkaasi IPv6 yahay. wg0 1420 byte wuxuu hayaa 20 byte oo firaaqo ah ka hooseeya 1440ka ay waddada 1500 byte si dhab ah u gaarsiin karto, taasina waa sababta tirada laga soo guuriyay wiki ay weli halkan ku habboon tahay. Sawir stack-ka oo dhan shaxanka, waayo kii xiga ee MTU beddela haddii kale wuxuu dooran doonaa lambar wareegsan cusub wuxuuna dhaxli doonaa khaladkaaga.

Sadarrada shanaad waa halka miisaaniyaduhu qaldamaan, waayo 1400 byte ee interface dhex galay qaado waxay hore ugu jiraan 40 byte oo madaxyada xirmada asalka ah. Kaliya 1360 oo ka mid ah byte-yadaas ayaa gaara habka faylka akhrinaya. U qaado 1400 sidii xamuulka barnaamijka, sida shax kasta oo aan lahayn tiirkaas kuugu yeedhayo, qalabka gudahana wuxuu ku dhammaanayaa 40 byte oo aad u deeqsi ah derbi aan dhaqaaqin.

U dhig labada MTU si gooni gooni ah

Qaadaha iyo qalabka dhex galay waa walxo gooni ah, marka mid kastaa wuxuu u baahan yahay qiimihiisa. Ku dabaq sidan oo kale, waayo qalabka dhex galay waxba kama dhaxlo qaadaha:

ip link set wg0 mtu 1420
ip tunnel add ipip0 mode ipip remote 203.0.113.9 local 198.51.100.4
ip link set ipip0 mtu 1400

Qaanuunka mudan in la xafido: MTU gudaha = MTU dibadda - 20 marka xirmada tunnel-ka IPIP qaado ay tahay IPv4, iyo - 40 isla marka dhinac kasta oo xirmada gudaha ah uu noqdo IPv6, waayo madaxa dhex galay wuxuu ka koraa 20 byte ilaa 40. Wax kale ma ku jiraan ka-goyntaas. Kharashka WireGuard hore ayaa loo qaatay markii aad dooratay 1420, laba jeerna qaadashadiisu waxay abuurtaa tunnel si fiican u shaqeeya oo gaabis ahaanaya ilaa cidna aan cabbirin. Baahinta ay labada qalabba qaadaan 1400 wareegsan waa faraha khaladkaas oo si sax ah.

IPv6 dhinac kasta oo xirmada dhex galay ah waxay burisaa lambar kasta oo kore, marka dib u xisaabi halkii aad lambar ka soo guurin lahayd goob la mid ah. Madaxyada la gooyay waa 40 byte mid kasta isla marka IPv6 ka soo muuqdo waddada dibadda ama datagram-ka asalka ah, tirada xamuulkuna si sax ah ayay u dhacdaa intaas.

Qaanuunka firewall-ka ee aad u badan tahay inaadan u baahnayn

Laba saaxiib oo WireGuard ah dhexdooda waxa keliya ee xarigga saaran waa UDP, marka qaanuun soo gal ah oo loogu talagalay borotokoolka 4, lambarka RFC 2003 u qoondeeyay encapsulation-ka IPv4-gudaha-IPv4, ma abuurto waddada dhex gashay mana sii noolaado. Madaxa IPIP wuxuu ku nool yahay xamuulka sirta ah gudihiisa, halkaas oo aan firewall gees ah u arkin. Borotokoolka 4 furiddiisu si kastaba wax kale kama iibsato mooyee hal waddo oo la ogolyahay oo host-ka galaysa.

Siyaasadda sheegta ilaha iyo meelaha loo socdo ee xirmada asalka ah waxay ku habboon tahay ka dib decapsulation-ka, interface-yada tunnel-ka iyo shaxda wadista. Halkaas ku dhig oo qaanuunka geeska ayaa xiran aan ku sii ahaan karaa.

Waxa WireGuard dhab ahaan xaqiijiyo

AllowedIPs wuxuu qiimeeyaa isha xirmada WireGuard qaado, waxa uu qaadona waa xirmada IPIP lagu duubay. Isha IPIP ee la ogolyahay waa la aqbalaa xitaa marka madaxa gudaha uu sheego host aadan jeclayn inaad u waddo. Marka isha asalka ah ma aha waxa saaxiibku kuu hubiyay, labadaas cinwaan ee gudahana waxay u baahan yihiin fulintooda ka dib decapsulation-ka.

Duubistu waxay bixisaa qaab dhismeed waddo, ma aha lakab labaad oo cryptography ah. IPIP ugu yeedhista ilaalin dheeraad ah gudaha WireGuard waxay qeexaysaa naqshad kale.

Ku xaqiiji jaranjaro, ma aha hal ping

Tijaabi cabbirro ku wareegsan xadka aad xisaabisay, ka dibna xaqiiji waxa kernel-ku ka qabo labada qalab. Marka 1360 byte xamuul ah iyo 40 byte madaxyo ay sameeyaan 1400, dhawaaqa ugu horreeya ee hoose wuu galaa kan labaadna wuxuu fadhiyaa hal byte saqafka ka shisheeya:

ping -M do -s 1372 10.9.0.2
ping -M do -s 1373 10.9.0.2
wg show wg0
ip -d link show ipip0

Maritaan nadiif ah oo saqafka hoostiisa ah iyo guuldarro cabbirka ugu horreeya ee ka sarreeya waxay ka dhigan tahay in xisaabtu ka haysato bilow ilaa dhammaad. Kadib dib u socodsii wareejintii asal ahaan hakaday, waayo probe synthetic ah ayaa caddeeya miisaaniyadda oo waxna kama sheego cabbirrada qoraalka diriyaha laftiisa. Haddii waddada dhex gashay ay weli ka jabto cabbir aad caddeysay inuu galo, baadh decapsulation-ka iyo waddooyinka darafka fog ka hor intaadan toban byte oo kale ka goyn MTU-ga.