Kiambishi awali cha mwenyeji katika WireGuard: kwa nini anwani moja inafanya kazi na zingine hazifanyi

Handaki imeinuka, handshake hufanyika kila dakika mbili, na anwani moja hasa upande wa pili inajibu. Pingi kwa anwani ya handaki ya peer zinafanya kazi; hakuna chochote nyuma yake kinachofanya kazi. Mtu anasoma usanidi wa kiolesura, anaona kiambishi awali cha mwenyeji na kuhitimisha kuwa barako ni mbaya. Kuipanua hadi /24 hutengeneza pingi kwa muda kisha huvunja kitu kingine. Kiambishi awali hakikuwa kamwe sababu, na njia iliyokosekana si ile ambayo barako hudhibiti.

Kiambishi awali cha kiolesura huunda nini hasa

Kwenye Linux, kuweka anwani kwenye kiolesura huunda njia iliyounganishwa kwa kiambishi hicho. Ukiweka kiambishi awali cha mwenyeji, njia iliyounganishwa hufunika anwani moja. Ukiweka /24, hufunika 256, na kila moja yao sasa inachukuliwa kama inafikiwa kupitia kiungo hicho.

ip -4 addr show dev wg0
ip -4 route show dev wg0
ip route get 10.80.7.1

Kiambishi awali cha mwenyeji ni chaguo la kawaida kabisa kwa handaki ya nukta-hadi-nukta, kwa sababu kuna peer mmoja hasa upande wa pili. Amri ya tatu ndiyo inayojibu swali la mtumiaji: inasema ni kiolesura kipi kernel ingetumia kwa lengo hilo, na haitaonyesha chochote cha manufaa ikiwa hakuna njia inayolingana.

Hiyo ni maelezo yote ya dalili. Anwani moja inajibu kwa sababu kuna njia iliyounganishwa kwa ajili yake, au kwa sababu orodha inayoruhusiwa ya peer inaijumuisha kwa bahati. Kila kitu kingine hakina njia na hutupwa kabla WireGuard haijashiriki. Handaki inabaki na afya wakati wote, ndiyo sababu kihesabu cha handshake kinaendelea kuonekana kikituliza.

AllowedIPs ni kanuni mbili chini ya jina moja

Orodha inayoruhusiwa kwa kila peer katika WireGuard hufanya kazi mbili kwa wakati mmoja, na sintaksia ya usanidi huzifanya zionekane kama moja. Kwa kuingia, inaruhusu anwani zipi za chanzo peer anaweza kuwasilisha. Kwa kutoka, huchagua peer ipi pakiti inatumwa, kwa kupata ulinganifu mahususaidi zaidi.

Hakuna kazi yoyote kati ya hizo mbili iliyo uelekezaji. Kernel bado lazima iamue kwamba pakiti ni ya kiolesura cha handaki kabla WireGuard haijaiangalia, na uamuzi huo unatoka kwenye jedwali la uelekezaji. Ingizo la peer lenye orodha pana inayoruhusiwa haliweki njia yenyewe.

Ndiyo sababu usanidi unaweza kuonekana kamili na kuishi kwa njia isiyolingana. Mteja hutuma upande wa pili kwa sababu njia ipo, na majibu hayafiki kamwe kwa sababu orodha inayoruhusiwa ya upande wa pili hairuhusu chanzo cha mteja, au kwa sababu upande wa pili hauna njia ya kurudi. Mielekeo yote miwili ni maamuzi tofauti yenye namna tofauti za kushindwa. Kuandika ni ipi unayojaribu ni nusu ya utambuzi.

Njia inatoka wapi

Ikiwa unatumia wg-quick, njia hutengenezwa kwa ajili yako kutoka orodha inayoruhusiwa ya kila peer, isipokuwa umeweka Table = off na umechukua udhibiti mwenyewe. Hiyo ni tabia iliyoandikwa na chombo hicho, na ndiyo sababu usanidi usio na maagizo ya wazi ya njia bado hufanya kazi.

sudo wg show wg0 allowed-ips
ip route show | grep wg0
sudo wg-quick strip wg0

Linganisha orodha inayoruhusiwa na njia zilizopo kweli. Peer anayeruhusu subnet nzima lakini alizalisha njia ya mwenyeji pekee inamaanisha kuwa msaidizi hakuendeshwa kamwe, au unadhibiti kiolesura moja kwa moja kwa wg na ip, na katika hali hiyo hakuna kinachozalisha njia kwa ajili yako.

Unapoidhibiti kwa mkono, njia ni mstari mmoja na umbo lake ni la wazi: lengo kupitia kiolesura, bila lango kwa sababu kiungo ni nukta-hadi-nukta. Kuiongeza si njia ya kukwepa kwa kiambishi kibaya; ni nusu inayokosekana ya muundo ulioamua kuchukua uelekezaji wenyewe.

Kiambishi kipana zaidi hakiiongezi ingizo la peer

Suluhisho la kuvutia ni kubadilisha anwani kuwa /24 ili njia iliyounganishwa ifunike LAN ya seva. Inaonekana inafanya kazi, na sababu inaonekana inafanya kazi ni kwamba njia iliyounganishwa sasa inalingana, si kwamba WireGuard imejifunza kitu kipya.

Ulichofanya pia ni kudai safu nzima kama inafikiwa moja kwa moja kupitia kiungo hicho, ikiwa ni pamoja na anwani za peer wengine au za LAN iliyo nyuma ya seva kwa kweli. Trafiki kwenda anwani hizo sasa inaingia handakini, na ikiwa itatoka upande wa pili inategemea uelekezaji na orodha zinazoruhusiwa za seva yenyewe.

Upande wa kriptografia hauathiriwi kwa namna yoyote. WireGuard bado inahitaji ingizo la orodha inayoruhusiwa linalofunika lengo ili kuchagua peer, na upande wa pili bado unahitaji ingizo linalofunika chanzo chako ili kuikubali. Kiambishi kipana zaidi cha kiolesura hakiwezi kutoa kimoja wapo.

Thibitisha mielekeo yote miwili kabla ya kubadilisha chochote

Shughulikia miisho miwili kando na uandike kila mmoja unasema nini. Kwa mteja njia na ingizo la peer; kwa seva picha ya kioo pamoja na njia yake ya kurudi:

ip route get 192.168.70.20
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo tcpdump -ni wg0 -c 10

Nasa ndiyo inayomaliza migogoro kuhusu mwelekeo. Ikiwa pakiti zinazotoka zinaonekana kwenye kiolesura cha handaki na seva hairekodi chochote, mwisho wa mbali unazikataa, kwa kawaida kwa sababu chanzo chako kiko nje ya orodha yake inayoruhusiwa. Ikiwa hakuna kinachoonekana kabisa, njia haipo au inaelekeza mahali pengine.

Kisha rekebisha mwisho mwembamba zaidi. Ingizo la orodha inayoruhusiwa upande wa seva kwa anwani ya mteja wako na ingizo upande wa mteja kwa subnet ya lengo ni umbo la kawaida, na huacha kiambishi cha kiolesura kikiwa kimya. Panua kiambishi tu ikiwa mpango wa anwani unataka kweli subnet inayoshirikiwa kwenye kiungo hicho, na ufanye kama badiliko la mpango badala ya hatua ya utatuzi.