WireGuard ma muujinayo gacan-qabsiga ugu dambeeya: maxaad marka hore hubinaysaa

Goobta gacan-qabsiga ugu dambeeya ee madhan waxay badanaa ka dhigan tahay in interface-ku aanu dhammaystirin gacan-qabsi tan iyo markii uu kacay, taas oo ka sheegaysa qaabeynta wax ka yar inta la arko. WireGuard way aamustaa ilaa xirmo u baahan in uu ka baxo interface-ka, sidaas darteed peer aan firfircoonayn oo aan waxba u dirin ayaa si sax ah u soo sheegaya taas. Hubi in wax dhab ahaantii la soo bandhigay ka hor inta aadan baarin furaha.

Tijaabadu waa xirmo la ogolaaday oo u jeeda meel ay peer-ku qaadi lahaa. Wax kasta oo kale ee shaashadda xaaladdaas waxay qeexayaan niyad, ma aha dhaqdhaqaaq.

Interface aan firfircoonayn ma hayo wax ay soo sheegto

WireGuard waxay gacan-qabsiga u samaysaa si caajis ah: xirmada ugu horreysa ee u baahan tunnel-ka ayaa bilaabta isweydaarsiga, interface-kuna wuu aamustaa ilaa markaas. Peer la qaabeeyay oo aan weligii la isticmaalin waxay muujinaysaa gacan-qabsi madhan, eber byte oo la helay iyo farqiin sii kordhaya tan iyo kii ugu dambeeyay. Xaaladdaas waa caafimaad u leh macmiil aan firfircoonayn waxayna walaac leedahay oo kaliya haddii aad filaysay in taraafikadu horey u qulqulay. Sidoo kale hubi tiriyeyaasha wareejinta, sababtoo ah waxay kala soocaan wax-aan-la-dirin iyo la-isku-dayay-o-guuldaray.

Haddii tiriyeyaashu eber ku taagan yihiin labada dhinac, dhibaatadu waxay ka sarraysaa tunnel-ka. Waxba ma gaarin interface-ka si ay wax u kiciyaan.

Kici taraafikada peer-ku loo ogolaaday inuu qaado

Dooro cinwaan ku dhex jira horgalayaasha la ogolaaday ee peer-ka, mishiinka maxalliga ah, oo xaqiiji in shaxda dariiqa ay ku diri lahayd interface-ka. Meel ka baxsan horgalayaashaas waxay soo saartaa codsi caadi ah oo la mariyey dariiqa iyada oo aan WireGuard wax ku lug lahayn. Isticmaal adeeg si degdeg ah uga jawaaba, sida ping ama xiriir TCP gaaban, si isku-daygu uu u lahaado bilow iyo dhammaad muuqda. Kadib dib u akhri safka gacan-qabsiga halkii aad shaashadda fiirin lahayd oo sugid.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

Weedha dariiqa ayaa ka muhiimsan ping-ka. Haddii ay magacawdo interface-ka jireed, xirmadu waligeed ma gashay tunnel-ka oo gacan-qabsiga madhan waa jawaab dariiqa, ma aha mid sir ah. Hagaaji dariiqa ka hor inta aadan cilad-baarin peer-ka.

Isbarbar dhig lammaanaha furaha iyo barta ugu dambeysa

Marka taraafikada si dhab ah loo soo bandhigo, hubinta xigta waa aqoonsiga. Furaha gaarka ah ee maxalliga ah waa inuu u dhigmaa furaha guud ee dhinaca kale ogolaado, furaha guud ee fog ee la qaabeeyay waa inuu aqoonsadaa peer-ka loo qorsheeyay, furaha hore loo wadaagayna waa inuu ku habboonaadaa labada daraf. Farqi hal xaraf ah oo ku jira furaha base64 waxay soo saartaa peer u eg mid la qaabeeyay oo waligiis aan dhammaystirin isweydaarsi. Isbarbar dhig diiwaanka bixinta halkii aad dib u abuuri lahayd furaha, sababtoo ah furaha cusub wuxuu baal mariyaa peer kasta oo ku kalsoonaa kii hore.

Barta ugu dambeysa waxay u baahan tahay isla baaritaankaas: magaca martigeliyaha, cinwaanka, dekedda UDP iyo qoyska loo isticmaalo in laga gaaro. Cinwaan duugoobay ama deked khaldan waxay keenaan aamusnaan halkii fariin.

La soco dariiqa UDP ee dibadda

Gacan-qabsigu wuxuu u socdaa UDP ahaan dhanka barta ugu dambeysa, sidaas darteed dariiqa dibadda waa inuu qaadaa. Amarrada hoose waxay hubiyaan inuu jiro dhageyste, in stack-ga maxalliga ahi soo diray datagram-ka, iyo barta ugu dambeysa ee la qaabeeyay. Ku ordi qabashada inta aad kicinayso taraafikada, ma aha ka hor.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Qabashada muujinaysa bilowga aan jawaab lahayn waxay tilmaamaysaa meel ka baxsan mishiinka, sababtoo ah dhinaca fog ama ma dhegeysto, ama waa la shaandheeyay, ama cinwaan khaldan ayaa la siiyay. Qabashada aan waxba muujinayn waxay ka dhigan tahay in xirmadu waligeed bixin, taas oo kugu celinaysa dariiqa iyo calaamad kasta oo socket ah oo ciyaarta ku jirta. Haddii aad maamusho labada daraf, isku xidh isku-dayga shaabad waqti ahaan qabasho cidhiidhi ah oo server-ka ah halkii mid guud. Tijaabada dekedda TCP waxba kama caddaynayso halkan, sababtoo ah borotokoolku waa UDP oo kaliya.

Marka gacan-qabsi soo baxo, tijaabi codsi tunnel-ka dhexdiisa, sababtoo ah isweydaarsi dhamaystiran wuxuu caddeeyaa aqoonsiga iyo gaaritaanka, ma aha wax soo saar la isticmaali karo ama DNS sax ah. Kaydi soo-saarka xaaladda ka hor iyo ka dib isbeddelka, farqiguna wuxuu noqonayaa caddayntaada.