WireGuard: njia mbili za nusu dhidi ya 0.0.0.0/0 katika wg-quick

Viambishi awili vya /1 hufunika anwani zile zile za IPv4 kama kimoja /0, na usawa huo unatumika tu ndani ya orodha ya viambishi vinavyoruhusiwa vya mwenzake. Huacha kutumika mara tu kifaa cha usanidi kinapoamua jinsi ya kuelekeza, kwa sababu Linux wg-quick hushughulikia kiambishi chaguo-msingi kama kesi maalum na si kama hesabu. Tawi maalum husakinisha jedwali tofauti, sheria mbili za sera, alama ya soketi na mipangilio ya njia ya kurudi ambayo jozi ya nusu njia haipati kamwe. Kwa hivyo wakati proksi au kivinjari kinaacha kufanya kazi baada ya uhariri, viambishi ndiyo sehemu isiyovutia zaidi ya mabadiliko.

Orodha ya viambishi si usanidi wote

AllowedIPs hufanya kazi mbili kwa wakati mmoja, na moja tu ndiyo inayohusu ufunikaji. Kwa WireGuard yenyewe orodha ni uelekezaji wa ufunguo wa kripto: huamua ni maeneo gani yanasimbwa kuelekea mwenzake na ni anwani gani za chanzo mwenzake huyo anaruhusiwa kutumia. Kwa wg-quick orodha hiyo hiyo hutumika pia kama maelezo ya njia, na njia inayozalishwa inategemea tawi ambalo orodha inalingana nalo kwa bahati. Kwa hivyo ufunikaji sawa katika maumbo mawili tofauti ya orodha hausemi chochote kuhusu hali sawa ya mwenyeji.

Usanidi chaguo-msingi huondoa uamuzi huo mikononi mwako, kwa sababu Table ni otomatiki kwa chaguo-msingi na kifaa huchagua wenyewe wapi njia zitatua. Msimamizi mwingine wa mtandao, kifuniko cha usambazaji au thamani maalum ya Table hubadilisha matokeo tena, ndiyo sababu ushauri ulioandikwa kwa mwenyeji mmoja unaweza kuonekana ukiwa si sahihi kwa anayefuata.

Nini tawi chaguo-msingi huongeza zaidi ya njia

Kiingilio cha /0 hutuma wg-quick kwenye njia yake ya chaguo-msingi: jedwali tofauti la uelekezaji hupokea chaguo-msingi, sheria moja ya sera hutuma trafiki isiyo na alama huko, sheria ya pili huweka njia mahususi zaidi za jedwali kuu kuwa zenye mamlaka, na kiolesura hupata alama ya firewall kwenye soketi yake yenyewe. Alama hiyo ndiyo mlinzi wa mzunguko. Datagramu zilizosimbwa zinazobeba trafiki ya handaki hutoka zikiwa na alama, ili sheria inayoelekeza kila kitu kingine kwenye handaki isimeze pakiti za usafirishaji za handaki lenyewe.

Badala yake jozi ya viingilio /1 huchukua njia ya kawaida. Njia mbili zinatua kwenye jedwali lililowekwa, na hakuna sehemu ya mashine inayozunguka inayoonekana, si kwa sababu haihitajiki bali kwa sababu njia hiyo ya msimbo haikuingiliwa kamwe.

Mahali ambapo mipango miwili inatofautiana

Tofauti huonekana kwanza kama urudiaji. Nusu njia zikiwa kwenye jedwali kuu, anwani ya usafirishaji ya mwenzake yenyewe huanguka ndani ya kiambishi cha handaki, kwa hivyo pakiti inayopaswa kubeba handaki inalingana na njia inayoelekeza ndani ya handaki. Kitu lazima kiiepushie: njia ya mwenyeji kwa mwisho wa sasa, alama iliyowekwa kwa mkono au sheria maalum ya kiolesura. Njia ya mwenyeji hufanya kazi hadi anwani ya mwisho ibadilike, jambo ambalo hutokea kwa miisho inayotegemea DNS, wateja wanaozunguka na usanidi wa wenzi wengi.

Pili, kila kitu kinachofikiri kuhusu alama hubadilisha tabia. Proksi angavu inayoelekeza upya miunganisho ndani ya nchi huunda soketi mpya ambazo alama na vyanzo vyake vinatofautiana na mtiririko wa awali wa mteja, na sheria za sera zinazozalishwa na tawi chaguo-msingi zilikuwa sehemu ya kile kilichotenganisha mitiririko hiyo. Kusoma muunganisho wa nje wa proksi yenyewe ni zoezi tofauti na kujaribu kama lengo la awali linafikiwa.

Soma sheria na alama kabla ya kuhariri

Nasa hali ya sasa wakati handaki ni nzuri, kisha tena baada ya mabadiliko, na linganisha dampu mbili badala ya kufikiri kutoka faili ya usanidi. Jumuisha sheria za sera, kila jedwali, alama ya kiolesura na miisho iliyorekodiwa.

ip rule show
ip -4 route show table all | grep -E 'default|wg1'
wg show wg1 fwmark
wg show wg1 endpoints

Kama mstari wa kwanza wa matokeo umepoteza sheria ya trafiki isiyo na alama na jedwali maalum ni tupu, tawi chaguo-msingi halifanyi kazi na hakuna hesabu ya viambishi itakayorejesha athari zake. Alama ya sifuri kwenye kiolesura kilichokuwa na moja hapo awali ni ishara hiyo hiyo, inayoonekana katika thamani moja.

Fanya mazoezi ya kupoteza handaki kabla ya kutoa

Kama mpangilio wa nusu njia ndiyo chaguo la makusudi, lazima utoe sehemu zinazokosekana kwa uwazi: njia ya mwisho inayostahimili mabadiliko ya anwani, tabia inayokusudiwa handaki linapoanguka na matibabu sawa kwa IPv6. Ziandike kama mahitaji badala ya kuzigundua wakati wa kukatika. Kisha fanya mazoezi ya kushindwa, kwa sababu handaki kamili linalorudi kimyakimya kwenye kiungo cha kimwili ni mbaya zaidi kuliko linaloacha kufanya kazi.

sudo ip -4 route add 198.51.100.20/32 via 192.0.2.1 dev eth0
ip -4 route get 198.51.100.20
sudo wg-quick down wg1

Utafutaji wa njia unapaswa kutatua mwisho kutoka kiolesura cha kimwili bila kuvuka handaki, na kuleta kiolesura chini kunapaswa kumwacha mwenyeji katika hali ambayo muundo uliahidi. Proksi inayofanya kazi baada ya uingizwaji inathibitisha kwamba hali ya mwenyeji iliyozalishwa ilikuwa muhimu; haithibitishi kwamba kuzuia mzunguko na tabia katika hali ya kuzimwa zilinusurika uhariri.