Tuneli kamili ya WireGuard: AllowedIPs 0.0.0.0/0 haitoshi

Kuweka 0.0.0.0/0, ::/0 katika AllowedIPs ya mwenza ni hatua ambayo kila mtu anaikumbuka, na huamua tu ni trafiki gani mwenza anaruhusiwa kuibeba. Viambishi hivi haviundi njia yoyote, havipitishi chochote upande wa pili, na huacha kitatuzi cha kila programu mahali palipokuwa. Mambo manne tofauti lazima yatimizwe kwa wakati mmoja ili tuneli kamili iwe kweli kamili, na ni bora kuyakagua kwa mpangilio ulio hapa chini, kwa sababu ukaguzi wa baadaye hauwezi kuokoa ule wa awali. Kila ukaguzi hapa chini ni ukweli unaoweza kusomwa kutoka kwa mashine, si mpangilio unaotumaini umetumika.

Kiambishi cha mwenza huchagua nini, na hakichagui nini

AllowedIPs ni kichaguzi na idhini kwa wakati mmoja. Huambia upande wa ndani ni sehemu gani zinaweza kutumwa kwa mwenza huyu, na huambia upande unaopokea ni anwani gani za chanzo mwenza huyu anaweza kuwasilisha. Hiyo ndiyo kazi yote. Hakuna chochote katika maelezo hayo kinachounda njia kwenye mwenyeji, kinachowasha upitishaji upande wa mbali, au kinachogusa utatuzi wa majina.

Ndiyo sababu usanidi unaweza kuonekana kamili na kuishi kama tuneli iliyogawanyika. Kiambishi kinasema mwenza atakubali kila kitu; jedwali la njia la mwenyeji huamua kile kinachofika hapo kwa kweli, na lango huamua kama kitu kinatoka. Hakuna moja ya maamuzi hayo matatu yanayoishi katika sehemu ya mwenza.

Kuelekeza mteja kwenye njia, si orodha ya wenza tu

Wasimamizi kama wg-quick hupanga jedwali la njia la mwenyeji kwa niaba yako, ndiyo sababu faili mbili za usanidi zinazofanana huishi tofauti kulingana na jinsi kiolesura kilivyoinuka. Profaili ya chini kabisa ni fupi vya kutosha kusomwa kwa mpigo mmoja:

[Interface]
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = vpn.example.net:51820

Kazi hiyo inabebwa na maelezo mawili. Sehemu ya Address ni kiambishi kimoja cha mwenyeji na si subnet ambayo mteja anadhani anamiliki, na msimamizi ndiye anayebadilisha AllowedIPs chaguo-msingi kuwa njia halisi ya chaguo-msingi. Inua faili hiyo hiyo kwa ip link na wg setconf na hakuna njia itakayoonekana kabisa, jambo ambalo linaonekana kama tuneli iliyovunjika na kwa kweli ni tuneli nzuri iliyokosa hatua ya uelekezaji. Mwongozo wa wg-quick unaandika uelekezaji na Table tabia ambazo wasimamizi hao huongeza.

Soma matokeo badala ya faili: ip route get 1.1.1.1 inapaswa kutaja kiolesura cha tuneli, na wg show inapaswa kuripoti handshake ya hivi karibuni ikiwa na kihesabu cha uhamishaji kinachosonga. Handshake bila njia inamaanisha msimamizi hakuwahi kukimbia, na kuhariri profaili tena hakutarekebisha hilo. Anzisha kiolesura jinsi mtumiaji atakavyoanzisha, vinginevyo jaribio hupima shell yako badala ya usambazaji.

Kuweka ncha ya mwisho nje ya tuneli

Tuneli kamili hukamata kila lengwa, ikiwemo lile ambalo lazima lizungumze nalo ili kuwepo. Wasimamizi hushughulikia hilo kwa kuongeza njia ya mwenyeji kwa ncha ya mwisho kupitia lango la awali, ndiyo sababu usanidi sahihi karibu kila mara huwa na msamaha mmoja wa kukusudia. Kutumia nusu ya usanidi kwa msimamizi na nusu nyingine kwa mkono ndiyo njia ya kawaida ambayo msamaha huu hupotea.

Ikiwa ncha ya mwisho ni jina la mwenyeji linalotatuliwa kwa anwani kadhaa, au kwa familia ambayo huibebi, msamaha huo huzeeka vibaya na tuneli inaweza kushindwa baada ya muunganisho mpya ulioonekana wa kawaida. Bandika ncha ya mwisho kwenye anwani unayodhibiti, au thibitisha kuwa msimamizi anaitathmini upya, na soma tena njia ya mwenyeji baada ya kila mabadiliko ya mtandao.

Utaratibu huo huo unaeleza kwa nini tuneli kamili na lango la kukamata hupigana. Lango hutarajia kuzuia trafiki ambayo tuneli yako sasa inaikamata, kwa hiyo kwenye mitandao ya hoteli na uwanja wa ndege unainua tuneli baada ya kuingia kwenye lango, kamwe si kabla.

Upitishaji na njia ya kurudi kwenye lango

Kwenye lango, washa upitishaji kwa familia unayoibeba, ruhusu mnyororo wa forward katika pande zote mbili unapotafsiri, na thibitisha njia ya kurudi kwa utafutaji maalum kwa chanzo. Hakuna chochote katika haya kinachotokana na handshake iliyofanikiwa, kwa sababu handshake inathibitisha tu kwamba wenza wawili wanaweza kubadilishana UDP. Haisemi chochote kuhusu kile kinachotokea kwa pakiti iliyofunguliwa baadaye.

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding
ip route get 1.1.1.1 from 10.8.0.2

Utafutaji hufanyika kwenye lango na si kwa mteja, vinginevyo utasoma jedwali lingine la njia. Ikiwa inataja kiolesura kisicho sahihi, au kuripoti kuwa hakuna njia, basi hakuna mabadiliko upande wa mteja yatakayozalisha njia ya kutoka mtandaoni. Lango linapotafsiri anwani za wateja wakati wa kutoka, jibu hutegemea hali hiyo ya utafsiri, kwa hiyo kanuni lazima iwepo kwa pande zote mbili za mtiririko na si kwa ule unaotoka tu.

DNS na hali ya kushindwa, zimejaribiwa kwa mbalimbali

Itifaki yenyewe haisanidi kitatuzi cha programu yoyote. wg-quick hutumia mstari DNS kupitia muunganisho wa kitatuzi wa usambazaji, makontena na vivinjari vyenye stacks zao vinaweza kuupuuza, na kwa hiyo jina linaweza kushindwa wakati tuneli inabeba pakiti kikamilifu. Jaribu kwa jina la mwenyeji badala ya anwani, na andika ni seva ipi ilijibu badala ya kudhani kuwa ile iliyo kwenye profaili ilijibu.

Familia za anwani ni jaribio tofauti lenye jibu tofauti. Njia ya chaguo-msingi ya v4 haisemi chochote kuhusu kile muunganisho wa v6 wa programu utakachofanya, na tuneli inayovujisha familia ya pili kwa kimya ni mbaya kuliko ile inayoshindwa kwa sauti. Uliza jina kupitia kila familia, soma kiolesura kilichotumiwa na kila ombi, na kagua vihesabu vya utafsiri kabla na baada, kwa sababu kanuni isiyolingana na chochote inaonekana sawa na kanuni inayokosekana.

Mwisho, jaribu hali unayotaka tuneli inaposimama. Tuneli kamili inapaswa kushindwa ikiwa imefungwa kwa trafiki inayodai: ikiwa kiolesura kinaanguka na programu zinaendelea kwa kimya kupitia kiungo cha kimwili, muundo ni tuneli iliyogawanyika yenye hatua za ziada. Andika tabia ya kushindwa iliyokusudiwa, ikague kwa makusudi, na maliza kwa kurekodi majibu manne — msimamizi gani anainua kiolesura, njia ipi inabeba chaguo-msingi, nani anapitisha na kutafsiri kwenye lango, na kitatuzi kipi kinajibu.