Dy peer WireGuard ndajnë një interval: cili e merr paketën

Dy peer listojnë intervale që prekin njëri-tjetrin, dhe trafiku arrin tek ai i gabuar. Asgjë nuk është dëmtuar: WireGuard zgjedh një peer duke përputhur destinacionin me intervalet e konfiguruara, dhe fiton përputhja më specifike. Para se të zgjerohesh çdo gjë, vendos cili peer duhet të zotërojë cilin prefiks.

Prefiksi më i gjatë fiton brenda WireGuard

Çdo zë peer mban një grup prefiksesh destinacioni. Kur një paketë rrugëzohet në ndërfaqe, implementimi kërkon zërin me prefiksin përputhës më specifik — i njëjti rregull që zbaton një tabelë rrugëzimi. Prandaj një /24 mund një /16 që e përmban, dhe peer-i më i ngushtë merr trafikun.

Konfigurimet road-warrior e përdorin këtë me qëllim. Një peer zotëron një interval të gjerë për një faqe, dhe hostet individualë ndahen me zëra /32 që i përkasin peer-ve të tjerë. Modeli funksionon sepse ndarjet janë më specifike, jo për shkak të rendit.

Shkruaje pronësinë si tabelë e prefiksit dhe peer-it. Nëse dy zëra përshkruajnë të njëjtin prefiks, konfigurimi nuk shpreh më një qëllim, shpreh një garë.

Sistemi operativ zgjedh fillimisht ndërfaqen

WireGuard zgjedh vetëm midis peer-ve në një ndërfaqe. Cila ndërfaqe e merr paketën vendoset më herët, nga tabela e rrugëzimit e hostit, dhe një rrugë e dytë e parazgjedhur ose një rrugë e vjetëruar mund ta dërgojë trafikun diku ku lista e peer-ve nuk e sheh kurrë. Kjo është arsyeja pse një diagnozë në nivel peer mund të jetë e saktë dhe prapëseprapë të mos e shpjegojë dështimin. Kontrollo rrugën drejt destinacionit para se të lexosh konfigurimin e peer-it, sepse një rrugë që tregon ndërfaqen fizike anashkalon të gjithë pyetjen.

Mjeti zakonisht i instalon ato rrugë nga intervalet e peer-ve, që do të thotë se një ndryshim në listën e një peer mund të ridrejtojë në heshtje trafik që më parë i përkiste një tjetri. Pra, redaktimi i një peer është një ndryshim rrugëzimi i maskuar. Shqyrto të dyja njëherësh, përndryshe do të rregullosh njërën dhe do të thyesh tjetrën.

Paketat hyrëse kontrollohen sipas burimit

Lista e intervaleve kryen një detyrë të dyfishtë. Për trafikun dalës zgjedh një peer sipas destinacionit, dhe për trafikun hyrës autorizon një adresë burimi. Një paketë që vjen nga një adresë jashtë intervaleve të atij peer hidhet poshtë para se ta shohë ndonjë firewall.

Kjo asimetri është e lehtë për t'u anashkaluar kur lexon njërën anë të konfigurimit. Një peer që mund të arrijë një nënrrjet nuk lejohet për këtë arsye të dërgojë nga ai nënrrjet, dhe të dy drejtimet zbatohen nga kontrolle të ndryshme.

Pronësia e ngushtë e burimit e kthen këtë në avantazh. Jepini çdo peer një /32 për adresën e vet dhe firewall-i poshtë ka një burim të besueshëm për t'u përputhur, në vend të një intervali të të gjithë grupit që çdo anëtar mund ta kërkojë.

Intervalet e dyfishuara nuk janë failover

Caktimi i të njëjtit prefiks dy peer-ve nuk krijon një balancues ngarkese ose një rrugë rezervë. Nuk ka kontroll shëndeti dhe nuk ka afinitet sesioni: zëri fitues vendoset nga rendi i brendshëm i implementimit, që nuk është një kontratë mbi të cilën duhet të projektohesh. Nëse të duhen dalje alternative, shprehi ato aty ku përcaktohet zgjedhja. Një politikë rrugëzimi, një metrikë ose një palë prefikse të veçantë me nga një pronar të dokumentuar prodhojnë sjellje që mund ta parashikosh dhe testosh.

Zgjerimi i një intervali për të rregulluar një dështim të palidhur është gabimi tjetër i zakonshëm. Largon trafikun nga peer-i që funksiononte, dhe simptoma e re vjen para se të kuptohet e vjetra.

Verifiko zgjedhjen para redaktimit

Tre komanda u përgjigjen tre pyetjeve me radhë. E para liston intervalet që kërkon çdo peer. E dyta tregon cilën ndërfaqe do të përdorte hosti për një destinacion. E treta tregon gjendjen e drejtpërdrejtë të peer-ve pasi ka rrjedhur trafiku.

wg show wg0 allowed-ips
ip route get 10.66.8.20
wg show wg0
ip rule show

Ekzekutoji para dhe pas një ndryshimi dhe krahasoji. Nëse dalja e rrugës ka ndryshuar por trafiku ende arrin tek peer-i i gabuar, listat e prefikseve mbivendosen në një mënyrë që nuk e ke shkruar ende. Nëse dalja e rrugës nuk ka ndryshuar, konfigurimi i peer-it nuk ishte kurrë ajo që po konsultohej.

Regjistro në ticket destinacionin, ndërfaqen e zgjedhur dhe peer-in e zgjedhur. Pikërisht ky trefish e bën një mbivendosje të rishikueshme më vonë, dhe është shumë më i dobishëm sesa një pamje ekrani e konfigurimit.