Horgalaha martigeliyaha WireGuard: sababta ciwaan keliya u shaqeeyo oo inta kalena aysan u shaqeyn

Tunnel-ku wuu kacsan yahay, handshake-ku wuxuu dhacaa laba minit kasta, oo dhinaca kale si sax ah hal ciwaan ayaa ka jawaabaya. Ping-yada ciwaanka tunnel-ka peer-ka way shaqeeyaan; wax ka dambeeya ma shaqeeyaan. Qof ayaa akhriya habaynta interface-ka, arka horgale martigeliye oo gunaanadaa in maaskadu khaldan tahay. U ballaarinta /24 ayaa ping-ga wax yar hagaajisa kadibna wax kale jebiya. Horgalahu marnaba sabab ma ahayn, wadada maqanna ma aha tan maaskadu maamusho.

Waxa horgalaha interface-ku dhab ahaan abuuro

Linux-ka, ciwaan interface-ka lagu qoondeeyo wuxuu abuuraa wado isku xiran horgalahaas. Haddii aad qoondeyso horgale martigeliye, wadada isku xiran waxay daboolaa hal ciwaan. Haddii aad qoondeyso /24, waxay daboolaa 256, oo mid kasta oo iyaga ka mid ah hadda waxaa loo arkaa mid laga gaari karo xiriirkaas.

ip -4 addr show dev wg0
ip -4 route show dev wg0
ip route get 10.80.7.1

Horgale martigeliye waa doorasho caadi ah oo buuxda tunnel dhibic-ilaa-dhibic ah, sababta oo ah waxaa jira si sax ah hal peer dhinaca kale. Amarka saddexaad ayaa ka jawaabaya su’aasha isticmaalaha: wuxuu sheegaa interface-ka ay kernel-ku u isticmaali lahaa bartankaas, oo wax faa’iido leh ma tuso haddii aanay wado ku habboonayn.

Taasi waa sharaxaad dhamaystiran oo calaamadda. Hal ciwaan ayaa ka jawaabaya sababta oo ah waxaa jira wado isku xiran oo loo sameeyay, ama sababta oo ah liiska la oggolaaday ee peer-ka ayaa si shil ah ku daray. Wax kasta oo kale wado ma leh oo waa la tuuraa ka hor inta aan WireGuard ku lug lahaan. Tunnel-ku wuu caafimaad qabaa waqtigaas oo dhan, taasina waa sababta tirada handshake-ku ay weli u muuqato mid xasilloon.

AllowedIPs waa laba xeer oo hal magac hoos yimaada

Liiska la oggolaaday ee peer kasta ee WireGuard wuxuu qabtaa laba shaqo isku mar, oo qaabka habayntu wuxuu ka dhigaa mid u eg mid keliya. Dhinaca soo galitaanka, wuxuu oggolaadaa ciwaannada isha ee peer-ku soo bandhigi karo. Dhinaca bixitaanka, wuxuu dooranayaa peer-ka paketi loo diro, isagoo helaya is-waafajinta ugu gaar ah.

Midkoodna shaqooyinkaas ma aha jiheyn. Kernel-ku wali waa inuu go’aansadaa in paketigu ka tirsan yahay interface-ka tunnel-ka ka hor inta WireGuard uusan eegin, go’aankaasna wuxuu ka yimaadaa shaxda jiheynta. Diiwaanka peer-ka oo leh liis ballaaran oo la oggolaaday kaligiis wado ma rakibo.

Taasina waa sababta habaynku u muuqan karo mid dhamaystiran oo u dhaqmi karo si aan isku mid ahayn. Macmiilku wuxuu u diraa dhinaca kale sababta oo ah wado ayaa jira, jawaabahuna marnaba ma yimaadaan sababta oo ah liiska la oggolaaday ee dhinaca kale ma oggola isha macmiilka, ama sababta oo ah dhinaca kale wado dib u noqosho ma leh. Labada jiho waa go’aamo kala duwan oo leh habab kala duwan oo guuldarro. In la qoro tan aad tijaabinayso waa kala badh ogaal-cilmiyeedka.

Wadada waxay ka timaaddaa xaggee

Haddii aad isticmaasho wg-quick, wadooyinka waa lagu sameeyaa adiga liiska la oggolaaday ee peer kasta, haddii aanad dhigin Table = off oo aanad adigu la wareegin xakamaynta. Taasi waa dhaqanka qalabku diiwaangeliyay, waana sababta habayn aan lahayn tilmaamo wado oo cad ay weli u shaqeyso.

sudo wg show wg0 allowed-ips
ip route show | grep wg0
sudo wg-quick strip wg0

Isbarbardhig liiska la oggolaaday iyo wadooyinka dhab ahaan jira. Peer oggolaada subnet dhan laakiin soo saaray kaliya wado martigeliye waxay ka dhigan tahay in kaaliyuhu marnaba shaqeyn, ama inaad si toos ah u maamusho interface-ka wg iyo ip, markaasna waxba wadooyin kuma sameeyo adiga.

Markaad gacanta ku maamusho, wadadu waa hal sadar oo qaabkeedu cad yahay: bartanka loo maro interface-ka, iyada oo aan gateway lahayn sababta oo ah xiriirku waa dhibic-ilaa-dhibic. Ku daristeedu ma aha xeelad horgale xun; waa qaybta maqan ee nashqad si miyir leh u qaadatay jiheynta.

Horgale ballaaran ma daro diiwaanka peer-ka

Hagaajinta soo jiidashada leh waa in ciwaanka loo beddelo /24 si wadada isku xiran ay u daboolto LAN-ka server-ka. Waxay u muuqataa inay shaqeyso, sababta ay u muuqatana waa in wadada isku xiran hadda is-waafajiso, ma aha in WireGuard wax cusub bartay.

Waxa aad sidoo kale samaysay waa inaad sheegato dhammaan baaxadda in si toos ah laga gaari karo xiriirkaas, oo ay ku jiraan ciwaanno ay leeyihiin peer-ro kale ama LAN dhab ahaan ka dambeeya server-ka. Taraafikada ciwaannadaas hadda waxay gashaa tunnel-ka, haddii ay dhinaca kale ka soo baxdo waxay ku xiran tahay jiheynta iyo liisaska la oggolaaday ee server-ka laftiisa.

Dhinaca kriptografi ee waxba kama duwana si kasta. WireGuard weli wuxuu u baahan yahay diiwaan liiska la oggolaaday oo daboolaya bartanka si uu peer u doorto, dhinaca kalena weli wuxuu u baahan yahay diiwaan daboolaya ishaada si uu u aqbalo. Horgale interface ballaaran ma bixin karo midkoodna.

Xaqiiji labada jiho ka hor inta aanad wax beddelin

U kala shaqee labada daraf oo qor waxa mid kastaa sheegayo. Macmiilka wadada iyo diiwaanka peer-ka; server-ka sawirka muraayadda oo lagu daray wadadiisa dib u noqosho:

ip route get 192.168.70.20
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo tcpdump -ni wg0 -c 10

Qabashadu waa tan xallisa murannada ku saabsan jihada. Haddii paketiyada baxa ay ka muuqdaan interface-ka tunnel-ka oo server-ku waxba ma diiwaangeliyo, darafka fog wuu diidayaa, badanaa sababta oo ah ishaadu waxay ka baxsan tahay liiskiisa la oggolaaday. Haddii gabi ahaan waxba soo muuqan, wadadu maqan tahay ama meel kale ayay tilmaamaysaa.

Kadib hagaaji darafka cidhiidhiga ah. Diiwaan liiska la oggolaaday dhinaca server-ka oo loogu talagalay ciwaanka macmiilkaaga iyo diiwaan dhinaca macmiilka oo loogu talagalay subnet-ka bartanka waa qaabka caadiga ah, oo wuxuu ka tagaa horgalaha interface-ka isagoo xasilloon. Ballaari horgalaha kaliya haddii qorshaha ciwaannada uu dhab ahaan doonayo subnet la wadaago xiriirkaas, oo u samee sidii isbeddel qorshe oo aan ahayn tallaabo cilad-baaris.