WireGuard hufanya kazi kwenye data ya simu lakini si kwenye wifi ileile

Handaki huinuka kwenye data ya simu kisha hubaki kwenye inaunganisha ukiwa nyumbani, na wasifu uleule, ufunguo uleule wa rika na hakuna mabadiliko ya usanidi katikati. Tofauti iko kwenye safari: ombi kutoka ndani ya LAN kuelekea anwani ya umma ya router si safari ileile na ombi linaloingia kutoka intaneti. Milango mingi ya nyumbani ama haitekelezi njia ya kurudi au inaitekeleza kwa itifaki fulani tu. Hilo hufanya dalili ionekane kama ufunguo uliovunjika wakati hakuna kilichogusa ufunguo. Bainisha ni njia gani ilishindikana kabla ya kugusa ufunguo, uelekezaji wa lango au wasifu wa mteja.

Anwani moja, njia mbili tofauti

Kutoka nje, pakiti hufikia anwani ya umma ya router na kanuni ya uelekezaji wa lango huikabidhi kwa msikilizaji wa WireGuard kwenye mwenyeji wa ndani. Kutoka ndani, mteja hupiga anwani ileile ya umma, kwa hivyo pakiti hutoka kwa mteja, hufika kwenye router na lazima igeuzwe nyuma kuelekea LAN. Ni katika mgeuko huo ambapo njia mbili hutengana, kwa sababu router lazima itafsiri mtiririko unaotoka na kuingia tena kupitia kiolesura kimoja. Utekelezaji mwingi huitupa badala ya kuitafsiri, na mteja hisha kusubiri mshikamano wa mkono ambao haukutumwa kamwe.

Tabia hii kwa kawaida huitwa NAT loopback au hairpinning, na ni ya router badala ya WireGuard; RFC 4787 inaweka wazi kesi za utafsiri ambazo lango linaweza au haliwezi kuitumia. WireGuard yenyewe haina maoni kuhusu njia, kwa sababu huona pakiti zinazofikia kiolesura chake tu. Router inapotupa mtiririko, daemon haipokei kitu kamwe, mteja huripoti muda wa kusubiri wa mshikamano wa mkono, na kumbukumbu ya seva hubaki tupu. Kumbukumbu tupu kwa hivyo ni kidokezo cha mahali pakiti iliposimama, si uthibitisho kwamba seva imeanguka. Ndiyo sababu pia usakinishaji upya haubadilishi kitu.

Kinyume chake pia kinahesabika: kumbukumbu ya seva inayoonyesha jaribio la mshikamano wa mkono kutoka anwani ya LAN inathibitisha kwamba pakiti ilifika na njia iko sawa, jambo linalohamishia uchunguzi kwenye funguo na anwani zinazoruhusiwa. Soma kumbukumbu kwa kile inachothibitisha, si kwa kile ulichotarajia kuona.

Izae upya kabla ya kubadilisha kitu

Jaribu kutoka mtandao wa nje ulioidhinishwa ukiwa na kifaa kilekile na wasifu uleule, kisha rudia jaribio ndani ya LAN bila kuhariri kitu. Mshikamano wa mkono uliokamilika nje na mteja ambaye ndani haachi kifaa kamwe huzaa hali hiyo badala ya kuikisia. Majaribio yote mawili lazima yatumie wasifu uleule, la sivyo ulinganisho hauthibitishi kitu.

Kisha angalia jina la mwisho wa njia linatatua kwenda wapi kwa kifaa hiki. Amri tatu zifuatazo pia zinaonyesha ni anwani gani mteja alipiga kwa kweli:

wg show wg0 endpoints
dig +short vpn.example.net A
resolvectl query vpn.example.net

Amri ya kwanza huripoti mwisho wa njia ambao kiolesura kinatumia sasa, na mbili nyingine zinaonyesha jina linatatua kwenda wapi kwenye mashine hii. Mteja anayepiga anwani ya umma wakati yuko kwenye mtandao uleule na seva anatumia njia ya hairpin. Mteja anayepiga anwani ya LAN hafanyi hivyo, na hitilafu huko ni ya uchunguzi mwingine. Tofauti hiyo huamua kama sehemu inayofuata inatumika hata kidogo.

Njia zinazotumika kufikia seva iliyo karibu

Mpangilio safi zaidi ni jibu la upeo uliogawanywa: jina la umma linatatua kwenda anwani ya umma kwa intaneti na kwenda anwani ya LAN ya seva kwa wateja wa ndani. Wasifu hubaki na jina moja la mwisho wa njia na kitatuzi huchagua njia. Hilo linahitaji udhibiti wa jibu la DNS la ndani, ambalo router ya nyumbani kwa kawaida hutoa na shirika linaweza kulipanga kwa makusudi. Bila udhibiti huo, chaguo zinazobaki ni kipengele cha router au wasifu wa pili.

Kipengele cha router ni uakisi: lango hutafsiri mtiririko kutoka ndani kwenda nje na kuurudisha ndani. Pale inapofanya kazi hakihitaji mabadiliko ya mteja, na pale hakifanyi kazi hakuna mpangilio wa mteja utakaokiokoa. Jaribu kwa kufuatilia kumbukumbu ya seva wakati wa jaribio la ndani badala ya kusoma orodha ya vipengele vya router.

Kuhariri wasifu kwenda anwani ya faragha ni utambuzi, si usanifu. Inathibitisha kwamba seva hujibu kwenye LAN, na huvunja wasifu uleule mara tu kompyuta mpakato inapoondoka nyumbani.

Weka wasifu ukiwa na manufaa mbali na nyumbani

Chochote njia utakayochagua, acha ukaguzi wa utambulisho uwe shwari. Anwani ya mwisho wa njia si utambulisho wa rika, na mabadiliko ya anwani hayawahi kuhalalisha kukubali ufunguo wa umma usiohusiana ambao kwa bahati hujibu. WireGuard huthibitisha kwa ufunguo, kwa hivyo mwenyeji asiye sahihi hushindwa kwenye mshikamano wa mkono badala ya kutoa ufikiaji wa kitu kisichotarajiwa.

Ikiwa anwani ya umma inahama, DNS inayobadilika ndiyo inayohifadhi jina likiwa na manufaa, na tabia ya kuonyesha upya ya mteja huamua jinsi mabadiliko yanavyofika haraka. Jaribu hilo kutoka nje baada ya mabadiliko ya anwani, kwa sababu kesi ya LAN haiwezi kulithibitisha. Jihadharini na kitatuzi kinachohifadhi jibu la zamani zaidi ya maisha ya rekodi. Jina ambalo bado linaelekeza kwenye anwani ya awali linaonekana sawa kabisa na seva iliyoanguka.

Andika ni jina gani wasifu unatumia na linatatua kwenda wapi kila upande wa mpaka. Wasifu unaotegemea kipengele cha router ambacho hakuna aliyekirekodi ni simu ya msaada inayosubiri sasisho la firmware lijalo. Kumbuka pia ndicho kinachomwambia mtu anayefuata kama hitilafu ya ndani ni kesi ya hairpin inayojulikana au kitu kipya.