Tunel i plotë WireGuard: AllowedIPs 0.0.0.0/0 nuk mjafton

Vendosja e 0.0.0.0/0, ::/0 në AllowedIPs të një kolegu është hapi që të gjithë e mbajnë mend, dhe vendos vetëm se çfarë trafiku lejohet të transportojë kolegu. Këta prefikse nuk krijojnë rrugë, nuk përcjellin asgjë në anën tjetër dhe e lënë zgjidhësin e çdo aplikacioni saktësisht aty ku ishte. Katër gjëra të ndara duhet të jenë të vërteta njëkohësisht që një tunel i plotë të jetë vërtet i plotë, dhe më mirë t'i kontrolloni në rendin më poshtë, sepse një kontroll i mëvonshëm nuk mund të shpëtojë një të mëparshëm. Çdo kontroll më poshtë është një fakt që lexohet nga një makinë, jo një cilësim që shpresoni të jetë zbatuar.

Çfarë zgjedh prefiksi i kolegut dhe çfarë jo

AllowedIPs është njëkohësisht përzgjedhës dhe autorizim. I thotë anës lokale se cilat destinacione mund të dërgohen te ky koleg, dhe anës marrëse se cilat adresa burimi mund të paraqesë ky koleg. Kjo është e gjithë puna. Asgjë në atë përshkrim nuk krijon një rrugë në host, nuk aktivizon përcjelljen në anën e largët dhe nuk prek zgjidhjen e emrave.

Prandaj një konfigurim mund të duket i plotë dhe të sillet si tunel i ndarë. Prefiksi thotë se kolegu do të pranonte gjithçka; tabela e rrugëve e hostit vendos çfarë arrin vërtet atje, dhe porta vendos nëse diçka del. Asnjë nga këto tre vendime nuk jeton në seksionin e kolegut.

Të rrugëzosh klientin, jo vetëm listën e kolegëve

Menaxherë si wg-quick programojnë tabelën e rrugëve të hostit në vendin tuaj, prandaj dy skedarë konfigurimi identikë sillen ndryshe varësisht nga mënyra se si u ngrit ndërfaqja. Një profil minimal është mjaft i shkurtër për t'u lexuar me një frymë:

[Interface]
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = vpn.example.net:51820

Punën e mbajnë dy detaje. Fusha Address është një prefiks i vetëm hosti dhe jo një nënrrjet që klienti mendon se e zotëron, dhe menaxheri është ai që i kthen AllowedIPs e parazgjedhur në një rrugë parazgjedhur të vërtetë. Ngrini të njëjtin skedar me ip link dhe wg setconf dhe nuk shfaqet asnjë rrugë, gjë që duket si tunel i prishur dhe në fakt është një tunel i shëndoshë me hapin e rrugëzimit të anashkaluar. Manuali i wg-quick dokumenton rrugëzimin dhe Table sjelljen që shtojnë këta menaxherë.

Lexoni rezultatin, jo skedarin: ip route get 1.1.1.1 duhet të emërtojë ndërfaqen e tunelit, dhe wg show duhet të raportojë një shtrëngim duarsh të fundit me një numërues transferimi që lëviz. Një shtrëngim duarsh pa rrugë do të thotë që menaxheri nuk u ekzekutua kurrë, dhe editimi përsëri i profilit nuk do ta rregullojë. Nisni ndërfaqen ashtu siç do ta nisë përdoruesi, përndryshe testi mat shell-in tuaj në vend të vendosjes.

Mbajtja e pikës fundore jashtë tunelit

Një tunel i plotë kap çdo destinacion, përfshirë atë me të cilin duhet të flasë për të ekzistuar. Menaxherët e zgjidhin këtë duke shtuar një rrugë hosti për pikën fundore përmes portës origjinale, prandaj një konfigurim i saktë pothuajse gjithmonë përmban një përjashtim të qëllimshëm. Zbatimi i gjysmës së konfigurimit me një menaxher dhe gjysmës tjetër me dorë është mënyra e zakonshme se si humbet ky përjashtim.

Nëse pika fundore është një emër hosti që zgjidhet në disa adresa, ose në një familje që nuk e transportoni, përjashtimi plaket keq dhe tuneli mund të dështojë pas një rilidhjeje që dukej rutinë. Fiksoni pikën fundore në një adresë që e kontrolloni, ose konfirmoni që menaxheri e rivlerëson atë, dhe rilexoni rrugën e hostit pas çdo ndryshimi të rrjetit.

I njëjti mekanizëm shpjegon pse një tunel i plotë dhe një portal grabëtar grinden. Portali pret të ndërpresë trafikun që tuneli juaj tani kap, prandaj në rrjetet e hoteleve dhe aeroporteve tunelin e ngrini pas hyrjes në portal, kurrë përpara.

Përcjellja dhe rruga e kthimit në portë

Në portë, aktivizoni përcjelljen për familjen që transportoni, lejoni zinxhirin forward në të dy drejtimet kur përktheni, dhe konfirmoni rrugën e kthimit me një kërkim specifik për burimin. Asgjë nga kjo nuk rrjedh nga një shtrëngim duarsh i suksesshëm, sepse shtrëngimi i duarve vërteton vetëm se dy kolegët mund të shkëmbejnë UDP. Nuk thotë asgjë për çfarë ndodh më pas me paketën e dekapsuluar.

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding
ip route get 1.1.1.1 from 10.8.0.2

Kërkimi ekzekutohet në portë dhe jo në klient, përndryshe do të lexoni një tabelë tjetër rrugësh. Nëse emërton ndërfaqen e gabuar, ose raporton se nuk ka rrugë, atëherë asnjë ndryshim në anën e klientit nuk do të prodhojë dalje në internet. Kur porta përkthen adresat e klientëve në dalje, përgjigja varet nga ai gjendje përkthimi, prandaj rregulli duhet të ekzistojë për të dy drejtimet e rrjedhës dhe jo vetëm për atë dalëse.

DNS dhe gjendja e dështimit, të testuara veçmas

Protokolli vetë nuk konfiguron zgjidhësin e asnjë aplikacioni. wg-quick zbaton rreshtin DNS përmes integrimit të zgjidhësit të shpërndarjes, kontejnerët dhe shfletuesit me stivat e tyre mund ta injorojnë atë, dhe prandaj një emër mund të dështojë ndërsa tuneli transporton paketa në mënyrë të përsosur. Testoni me një emër hosti në vend të një adrese, dhe shënoni cili server u përgjigj në vend që të supozoni se ishte ai i profilit.

Familjet e adresave janë një test i veçantë me një përgjigje të veçantë. Një rrugë parazgjedhur v4 nuk thotë asgjë për atë që do të bëjë lidhja v6 e një aplikacioni, dhe një tunel që rrjedh në heshtje familjen e dytë është më i keq se një që dështon me zë. Pyetni një emër përmes çdo familjeje, lexoni ndërfaqen që përdori çdo kërkesë, dhe kontrolloni numëruesit e përkthimit para dhe pas, sepse një rregull që nuk përputhet me asgjë duket identik me një rregull që mungon.

Së fundi, testoni gjendjen që dëshironi kur tuneli ndalon. Një tunel i plotë duhet të dështojë i mbyllur për trafikun që pretendon: nëse ndërfaqja bie dhe aplikacionet vazhdojnë në heshtje përmes lidhjes fizike, dizajni është një tunel i ndarë me hapa shtesë. Shkruani sjelljen e synuar të dështimit, kontrollojeni me qëllim, dhe përfundoni duke regjistruar katër përgjigjet — cili menaxher ngre ndërfaqen, cila rrugë mban atë parazgjedhur, kush përcjell dhe përkthen në portë, dhe cili zgjidhës përgjigjet.