AllowedIPs është një listë rrugëtimi, jo një rregull muri zjarri

Shumica e njerëzve e lexojnë AllowedIPs si një listë lejimesh, grupin e adresave që mund të lidhen me një partner, pothuajse si një rregull muri zjarri i shkruar për një tunel. Nuk është kështu. Fusha është një tabelë rrugëtimi që punon në të dy drejtimet: zgjedh një partner për një paketë dalëse dhe vërteton burimin e një pakete hyrëse. Leximi si listë aksesi prodhon konfigurime që rrugëtojnë trafik që askush nuk e ka kërkuar.

Një fushë, dy lexues: zgjedhja dalëse dhe kontrolli i burimit

Te klienti, prefikset vendosin cilat destinacione udhëtojnë drejt atij partneri dhe cilat mbeten në rrjetin e zakonshëm. Prandaj një zë për 0.0.0.0/0 kap çdo destinacion IPv4, dhe prandaj importimi i një profili tuneli të plotë dërgon shfletimin e zakonshëm përmes makinës së largët. Zërat e ngushtë bëjnë të kundërtën: rrugëtojnë vetëm rrjetet që keni listuar dhe lënë gjithçka tjetër aty ku ishte. Seksioni për rrugëtimin e çelësave kriptografikë në dokumentacionin e WireGuard i paraqet të dyja detyrat në një vend: zgjedhjen e partnerit dalës dhe vërtetimin e burimit hyrës.

Te serveri, e njëjta fushë përshkruan cilat adresa burimi mund të përdorë secili partner. Ky është një kontroll kriptografik dhe jo një filtër paketash: një paketë burimi i brendshëm i së cilës nuk përputhet me listën e partnerit hidhet brenda WireGuard përpara se ta shohë ndonjë mur zjarri i hostit. Të dyja detyrat ndajnë një listë të vetme, dhe pikërisht për këtë një listë e kopjuar nga diku tjetër sillet keq në një vend që nuk e keni marrë parasysh.

Blloku i klientit është vendi ku fillon pjesa më e madhe e këtij konfuzioni. Një tunel i ndarë emërton rrjetet e largëta, dhe një tunel i plotë është e njëjta fushë me një prefiks të paracaktuar:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Të dyja format janë të plota më vete, dhe janë alternativa e jo hapa. E para dërgon vetëm ato dy rrjete përmes tunelit; e dyta dërgon çdo destinacion, me zërin ::/0 që shton IPv6 te parazgjedhja IPv4. Cilëndo të zgjidhni, ato prefikse janë e gjithë vendimi i rrugëtimit për atë partner sapo wg-quick fillon të instalojë rrugët.

Hub-i ka nevojë për një listë tjetër

Një hub liston adresën e tunelit të secilit klient si prefiks hosti, plus çdo rrjet që ndodhet vërtet pas atij klienti. Kopjimi i listës së gjerë të një klienti te çdo partner i hub-it i thotë hub-it se shumë partnerë mund të përdorin të njëjtat adresa si burim, dhe kjo nuk është një plan adresash. Fusha Endpoint i përket një shtrese krejt tjetër: emërton adresën dhe portin e jashtëm të partnerit, kurrë një destinacion brenda tunelit.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Prefiksi i hostit mban adresën e tunelit dhe prefiksi i rrjetit mban atë që qëndron pas klientit, dhe të dyja nevojiten. Pa prefiksin e hostit hub-i nuk mund të kthejë trafikun e vetë klientit, dhe pa prefiksin e rrjetit LAN-i pas tij mbetet i paarritshëm; një partner pa asgjë pas tij merr vetëm prefiksin e hostit.

Anashkalimi i instalimit të rrugëve lë një boshllëk

wg-quick, ndihmësi që ngre një ndërfaqe nga një skedar konfigurimi, instalon adresat e ndërfaqes dhe rrugët si pjesë të asaj pune. Vendosja e Table = off i thotë ndihmësit të anashkalojë punën me rrugët, e cila nuk instalon zëvendësues dhe nuk e bën rrjetin privat të arritshëm. Kur rrugët automatike e bëjnë tashmë punën, emërtimi i prefikseve që ju nevojiten është konfigurimi më i qartë. Çaktivizimi i menaxhimit të rrugëve dhe lënia e zëvendësuesit të pashkruar nuk është dizajn, është një lëshim.

Mjeti bazë wg sillet ndryshe: konfiguron ndërfaqen dhe nuk prek kurrë rrugët, kështu që një instalim i ndërtuar drejtpërdrejt mbi të ka nevojë për komandat e veta të rrugëve. Udhëzimet e shkruara për një mjet mund të duken të gabuara kur ndiqen me tjetrin. Një ping i suksesshëm është gjithashtu provë e dobët, sepse provon një shteg e jo çdo shteg aplikacioni që ju nevojitet.

DNS dhe IPv6 vendosen veçmas

Kontrolloni adresën e serverit DNS që shpall tuneli dhe konfirmoni se ekziston një rrugë drejt asaj adrese përmes prefikseve që zgjodhët. Një cilësim i zgjidhësit nuk e bën zgjidhësin të arritshëm, dhe ngushtimi i një tuneli mund të heqë në heshtje rrugën që çonte atje. Inspektoni IPv6 edhe veçmas, sepse një ndarje e saktë IPv4 nuk thotë asgjë për një rrugë të paracaktuar IPv6 që ende tregon te lidhja fizike. Tre vendime të ndara mund të ndryshojnë njëherësh kur redaktoni një bllok partneri.

Pastaj hapni një burim privat dhe një faqe interneti të zakonshme nga një konfigurim fillestar i njohur. Nëse burimi përgjigjet dhe shfletimi ende del përmes lidhjes lokale, ndarja bën atë që kërkuat. Nëse shfletimi prishet në të njëjtin moment, tuneli mori rrugën e paracaktuar dhe lista e prefikseve është vendi ku duhet të shikoni.