Soma usanidi wa WireGuard mstari kwa mstari, kutoka Interface hadi Peer

Usanidi mwingi wa WireGuard ulioharibika haukosei thamani; unaweka thamani sahihi upande usiofaa. Ufunguo wa faragha ni wa mashine hii, peer hubeba ufunguo wa umma wa mashine nyingine, na anwani hukaa katika kizuizi cha interface ingawa inaeleza mahali handaki inapoishi. Soma faili kama mielekeo miwili inayokutana, kisha hakiki kile script ya usaidizi iliongeza juu. Itifaki yenyewe ina sehemu chache kuliko faili, na zile za ziada zinafaa kujulikana kwa tofauti.

Funguo za interface zinaeleza mashine hii

Kizuizi cha interface kinashikilia utambulisho wa mwisho huu wenyewe. PrivateKey ni utambulisho huo na hauachi kamwe mwenyeji; ufunguo wa umma unaolingana hutolewa kutoka kwake na ndio ambao peer wengine huorodhesha. ListenPort ni mahali ambapo upande huu hupokea kupeana mikono, kwa hiyo wateja wawili nyuma ya anwani moja wanahitaji bandari tofauti.

Address ni anwani ya handaki ambayo mwenyeji huyu hujibu, imeandikwa na urefu wa kiambishi kwa sababu pia ni chanzo atakachotumia. Kiambishi kibaya hapa hubadilisha ni maeneo gani mwenyeji anadhani yameunganishwa moja kwa moja, na hiyo huzalisha hitilafu zinazoonekana kama uelekezaji na si usanidi.

Kila kitu kingine katika [Interface] kizuizi chenye mteja halisi kwa kawaida huongezwa na wg-quick: DNS, MTU, Table, na mistari ya ndoano. Hizi si sehemu za itifaki, na wg usanidi tupu unazipuuza kabisa.

Kila ingizo la peer linaeleza upande mmoja mwingine

[Peer] kizuizi ni upande wa mbali. PublicKey ni ufunguo uliotolewa wa upande huo, kamwe si ufunguo wao wa faragha, na PresharedKey ni siri ya ziada ya hiari ambayo pande zote mbili lazima ziishikilie sawa. Endpoint ni mahali pa kutuma, na PersistentKeepalive inaomba mwenyeji huyu atume pakiti baada ya muda uliowekwa wakati hakuna kingine kinachotoka.

Makosa mawili yanaeleza mengi ya mkanganyiko hapa. Kunakili ufunguo wako wa faragha kwenye kizuizi cha peer hufanya miisho miwili ishiriki utambulisho mmoja, na kupeana mikono hushindwa kwa namna ambayo hurekodiwa vibaya. Endpoint kuacha nje kwa mteja kwa kawaida ni kwa kusudi, kwa sababu seva hujifunza anwani kutoka kupeana mikono kunakokuja; kuacha nje kwa seva ambayo lazima ianzishe sivyo. Kumbuka pia kwamba keepalive huweka uchoraji wa NAT wazi, na haiboreshi uwezo wa kupitisha wala haipunguzi ucheleweshaji, kwa hiyo sekunde thelathini za pakiti za ziada hazinunui kitu wakati trafiki inapita tayari.

AllowedIPs ni uelekezaji, si orodha ya ruhusa

AllowedIPs ni uelekezaji wa ufunguo wa siri wa WireGuard. Kwa nje, huamua peer gani hupokea pakiti kwa msingi wa lengo. Kwa ndani, huamua ikiwa pakiti inayokuja kutoka peer huyo inakubaliwa kwa msingi wa chanzo. Sehemu hiyo hiyo hufanya kazi zote mbili, ndiyo sababu si orodha ya udhibiti wa ufikiaji na si orodha ya tovuti zinazoruhusiwa.

Nyembamba AllowedIPs kwenye seva kwa mteja inamaanisha seva itakubali tu pakiti zinazodai vyanzo hivyo, na itatuma tu maeneo hayo kwa mteja huyo. Panua upande mmoja bila kupanua mwingine, na utapata handaki inayoinuka na haipitishi kitu.

Kile wg-quick huongeza kuzunguka itifaki

wg-quick husoma faili hiyo hiyo na hufanya hatua za mtandao ambazo itifaki huwaachia mfumo wa uendeshaji. Hukabidhi anwani ya interface, huongeza njia zilizotolewa kutoka AllowedIPs, huandika mipangilio ya kitatuzi na huendesha amri za ndoano kwa mpangilio.

Tabaka hilo linaeleza utofauti wa kawaida. Faili yenye 0.0.0.0/0 na mstari wa DNS humpa mteja njia chaguo-msingi na kitatuzi, na haifanyi kabisa kitu kwa kanuni za upelekaji au NAT za seva. Hizo ni za usanidi wa seva yenyewe, na hakuna faili ya mteja inayoweza kuzitoa.

Shikilia mmiliki mmoja wa faili. Kuihariri kwa mkono wakati SaveConfig imewashwa inamaanisha kwamba hariri yako itatoweka mara ijayo interface inaposhuka, na interface haitakuambia kwamba hilo limetokea.

Hakiki hali iliyotumika, si faili

Faili ni nia. Hali iliyotumika ni kile kernel inashikilia, na hutofautiana kila mara msaidizi, drop-in au ndoano ilipohariri kitu baada ya uanzishaji.

Soma hali hai na uanwani pamoja, kisha linganisha zote mbili na kile ulichoandika:

sudo wg show
ip -4 addr show dev wg0
ip -4 route show dev wg0
grep -v "^#" /etc/wireguard/wg0.conf

Ikiwa orodha ya peer ni tupu, interface iliundwa bila usanidi wake kutumika. Ikiwa anwani na njia zipo lakini vihesabu vinabaki sifuri, faili ilipakiwa na kupeana mikono kunashindwa, jambo ambalo ni tatizo la ufunguo au mwisho na si la mpangilio wa sehemu. Linganisha maoni mawili kabla ya kuhariri, kwa sababu pengo kati yao kwa kawaida ndilo hitilafu halisi.