AllowedIPs ni orodha ya uelekezaji, si kanuni ya ukuta wa moto

Watu wengi husoma AllowedIPs kama orodha ya ruhusa, yaani anwani zinazoweza kuunganishwa na mwenza, kama kanuni ya ukuta wa moto iliyoandikwa kwa handaki. Si hivyo. Uga huu ni jedwali la uelekezaji linalofanya kazi pande zote mbili: huchagua mwenza kwa pakiti inayotoka na kuthibitisha chanzo cha pakiti inayoingia. Kuisoma kama orodha ya ufikiaji huzalisha mipangilio inayoelekeza trafiki ambayo hakuna aliyetaka.

Uga mmoja, wasomaji wawili: uchaguzi wa kutoka na ukaguzi wa chanzo

Kwa mteja, viambishi awali huamua ni sehemu gani za mwisho zinazosafiri hadi mwenza huyo na zipi zinazobaki kwenye mtandao wa kawaida. Kwa hiyo ingizo la 0.0.0.0/0 hukamata kila sehemu ya mwisho ya IPv4, na ndiyo sababu kuingiza wasifu wa handaki kamili hutuma uvinjari wa kawaida kupitia mashine ya mbali. Ingizo nyembamba hufanya kinyume: huelekeza mtandao uliouorodhesha tu na kuacha kila kitu kingine mahali palipokuwa. Sehemu ya uelekezaji wa funguo za siri katika nyaraka za WireGuard inataja kazi zote mbili mahali pamoja: uchaguzi wa mwenza anayetoka na uthibitisho wa chanzo kinachoingia.

Kwenye seva, uga huo huo unaeleza ni anwani gani za chanzo kila mwenza anaruhusiwa kutumia. Huku ni ukaguzi wa kriptografia na si kichujio cha pakiti: pakiti ambayo chanzo chake cha ndani hakilingani na orodha ya mwenza hutupwa ndani ya WireGuard kabla ya ukuta wowote wa moto wa mwenyeji kuiona. Kazi zote mbili hushiriki orodha moja, na ndiyo sababu hasa orodha iliyonakiliwa kutoka mahali pengine hufanya vibaya mahali ambapo hukufikiria.

Kizuizi cha mteja ni mahali ambapo machafuko mengi ya haya huanza. Handaki lililogawanywa hutaja mitandao ya mbali, na handaki kamili ni uga huo huo wenye kiambishi awali cha chaguo-msingi:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Maumbo yote mawili ni kamili yenyewe, na ni njia mbadala na si hatua. La kwanza hutuma mitandao hiyo miwili tu kupitia handaki; la pili hutuma kila sehemu ya mwisho, na ingizo ::/0 linaongeza IPv6 kwenye chaguo-msingi la IPv4. Uchague upi, viambishi hivyo ndio uamuzi wote wa uelekezaji kwa mwenza huyo mara wg-quick inapoanza kusakinisha njia.

Kitovu kinahitaji orodha tofauti

Kitovu huorodhesha anwani ya handaki ya kila mteja kama kiambishi awali cha mwenyeji, pamoja na mtandao wowote ambao kwa kweli uko nyuma ya mteja huyo. Kunakili orodha pana ya mteja kwenye kila mwenza wa kitovu humwambia kitovu kuwa wenzi wengi wanaweza kutumia anwani zilezile kama chanzo, na hiyo si mpango wa anwani. Uga Endpoint ni wa tabaka tofauti kabisa: unataja anwani na bandari za nje za mwenza, kamwe si sehemu ya mwisho ndani ya handaki.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Kiambishi awali cha mwenyeji hubeba anwani ya handaki na kiambishi awali cha mtandao hubeba kile kilicho nyuma ya mteja, na vyote viwili vinahitajika. Bila kiambishi awali cha mwenyeji kitovu hakiwezi kurudisha trafiki ya mteja mwenyewe, na bila kiambishi awali cha mtandao LAN iliyo nyuma yake inabaki isifikiki; mwenza asiye na kitu nyuma yake hupata kiambishi awali cha mwenyeji tu.

Kuruka usakinishaji wa njia huacha pengo

wg-quick, msaidizi anayeinua kiolesura kutoka faili ya usanidi, husakinisha anwani za kiolesura na njia kama sehemu ya kazi hiyo. Kuweka Table = off humwambia msaidizi aruke kazi ya njia, jambo ambalo halisakinishi vibadala na halifanyi mtandao wa faragha kufikika. Wakati njia za kiotomatiki tayari zinafanya kazi, kutaja viambishi awali unavyohitaji ni usanidi ulio wazi zaidi. Kuzima usimamizi wa njia na kuacha kibadala bila kuandikwa si ubunifu, ni uachaji.

Zana ya msingi wg hufanya tofauti: husanidi kiolesura na kamwe haigusi njia, kwa hiyo usanidi uliojengwa moja kwa moja juu yake unahitaji amri zake za njia. Maagizo yaliyoandikwa kwa zana moja yanaweza kuonekana si sahihi yanapofuatwa na nyingine. Ping iliyofanikiwa pia ni ushahidi hafifu, kwa sababu hujaribu njia moja badala ya kila njia ya programu unayohitaji.

DNS na IPv6 huamuliwa kwa tofauti

Angalia anwani ya seva ya DNS ambayo handaki hutangaza, na uthibitishe kuwa njia ya kufikia anwani hiyo ipo kupitia viambishi awali ulivyochagua. Mpangilio wa kitatuzi haufanyi kitatuzi kufikika, na kupunguza upana wa handaki kunaweza kuondoa kwa utulivu njia iliyokuwa ikienda huko. Chunguza IPv6 pia kivyake, kwa sababu mgawanyo sahihi wa IPv4 hausemi kitu kuhusu njia ya chaguo-msingi ya IPv6 ambayo bado inaelekeza kwenye kiungo halisi. Maamuzi matatu tofauti yanaweza kubadilika kwa wakati mmoja unapohariri kizuizi kimoja cha mwenza.

Kisha fungua rasilimali moja ya faragha na tovuti moja ya kawaida kutoka usanidi wa kuanzia unaojulikana. Ikiwa rasilimali itajibu na uvinjari bado unatoka kupitia muunganisho wa ndani, mgawanyo unafanya ulichoomba. Ikiwa uvinjari unavunjika wakati huo huo, handaki limechukua njia ya chaguo-msingi na orodha ya viambishi awali ndiyo mahali pa kuangalia.