WireGuard இல் ஹோஸ்ட் முன்னொட்டு: ஒரு முகவரி ஏன் வேலை செய்கிறது மற்றவை இல்லை

சுரங்கப்பாதை இயங்குகிறது, handshake ஒவ்வொரு இரண்டு நிமிடத்திற்கும் நடைபெறுகிறது, மறுபக்கத்தில் சரியாக ஒரு முகவரி பதிலளிக்கிறது. பியரின் சுரங்கப்பாதை முகவரிக்கு ping வேலை செய்கிறது; அதன் பின்னால் எதுவும் வேலை செய்யவில்லை. யாரோ இடைமுகத்தின் அமைப்பைப் படித்து, ஹோஸ்ட் முன்னொட்டைப் பார்த்து, மாஸ்க் தவறு என்று முடிவு செய்கிறார். அதை /24 ஆக விரிவாக்குவது ping-ஐ சிறிது நேரம் சரிசெய்து பிறகு வேறு எதையோ உடைக்கிறது. முன்னொட்டு ஒருபோதும் காரணமாக இருந்ததில்லை, மேலும் காணாமல் போன வழி மாஸ்க் கட்டுப்படுத்தும் வழி அல்ல.

இடைமுக முன்னொட்டு உண்மையில் என்ன உருவாக்குகிறது

Linux இல் ஒரு இடைமுகத்திற்கு முகவரி ஒதுக்குவது அந்த முன்னொட்டுக்கு இணைக்கப்பட்ட வழியை உருவாக்குகிறது. ஹோஸ்ட் முன்னொட்டை ஒதுக்கினால் இணைக்கப்பட்ட வழி ஒரு முகவரியை மட்டும் உள்ளடக்கும். /24 ஒதுக்கினால் அது 256 முகவரிகளை உள்ளடக்கும், அவற்றில் ஒவ்வொன்றும் இப்போது அந்த இணைப்பின் வழியாக அணுகக்கூடியதாகக் கருதப்படுகிறது.

ip -4 addr show dev wg0
ip -4 route show dev wg0
ip route get 10.80.7.1

ஹோஸ்ட் முன்னொட்டு புள்ளி-முதல்-புள்ளி சுரங்கப்பாதைக்கு முற்றிலும் சாதாரணமான தேர்வு, ஏனெனில் மறுமுனையில் சரியாக ஒரு பியர் உள்ளது. மூன்றாவது கட்டளை தான் பயனரின் கேள்விக்கு பதிலளிக்கிறது: கர்னல் அந்த இலக்குக்கு எந்த இடைமுகத்தைப் பயன்படுத்தும் என்று கூறுகிறது, எந்த வழியும் பொருந்தவில்லை என்றால் பயனுள்ள எதையும் காட்டாது.

அறிகுறியின் முழு விளக்கம் இதுவே. ஒரு முகவரி பதிலளிக்கிறது ஏனெனில் அதற்கு இணைக்கப்பட்ட வழி உள்ளது, அல்லது பியரின் அனுமதிக்கப்பட்ட பட்டியலில் தற்செயலாக அது உள்ளது. மற்ற அனைத்திற்கும் வழி இல்லை, WireGuard ஈடுபடுவதற்கு முன்பே அது கைவிடப்படுகிறது. சுரங்கப்பாதை எல்லா நேரத்திலும் ஆரோக்கியமாக உள்ளது, அதனால்தான் handshake எண்ணி நம்பிக்கையளிப்பதாகத் தோன்றுகிறது.

AllowedIPs ஒரு பெயரின் கீழ் இரண்டு விதிகள்

WireGuard இன் ஒவ்வொரு பியருக்குமான அனுமதிக்கப்பட்ட பட்டியல் ஒரே நேரத்தில் இரண்டு வேலைகளைச் செய்கிறது, அமைப்பின் இலக்கணம் அவற்றை ஒன்றாகத் தோற்றமளிக்கச் செய்கிறது. உள்நோக்கி வரும்போது பியர் எந்த மூல முகவரிகளை வழங்கலாம் என்பதை அனுமதிக்கிறது. வெளிநோக்கிச் செல்லும்போது பாக்கெட் எந்த பியருக்கு அனுப்பப்படும் என்பதைத் தேர்ந்தெடுக்கிறது, மிகத் துல்லியமான பொருத்தத்தைக் கண்டறிந்து.

இந்த இரண்டு வேலைகளில் எதுவும் வழிமாற்றம் அல்ல. பாக்கெட் சுரங்கப்பாதை இடைமுகத்திற்கு உரியது என்று கர்னல் இன்னும் தீர்மானிக்க வேண்டும், அதற்கு முன் WireGuard அதைப் பார்க்கும், இந்த முடிவு வழிமாற்ற அட்டவணையிலிருந்து வருகிறது. பரந்த அனுமதிக்கப்பட்ட பட்டியலுடன் கூடிய பியர் பதிவு தானாக ஒரு வழியை நிறுவுவதில்லை.

அதனால்தான் ஒரு அமைப்பு முழுமையாகத் தோன்றி சமச்சீரற்ற முறையில் நடந்துகொள்ளலாம். வழி இருப்பதால் கிளையண்ட் மறுபக்கத்திற்கு அனுப்புகிறது, மறுபக்கத்தின் அனுமதிக்கப்பட்ட பட்டியல் கிளையண்டின் மூலத்தை அனுமதிக்காததால் அல்லது மறுபக்கத்திற்கு திரும்பும் பாதை இல்லாததால் பதில்கள் ஒருபோதும் வருவதில்லை. இரு திசைகளும் தனித்தனி முடிவுகள் தனித்தனி தோல்வி முறைகளுடன். நீங்கள் எதைச் சோதிக்கிறீர்கள் என்று எழுதுவது கண்டறிதலின் பாதி.

வழி எங்கிருந்து வருகிறது

நீங்கள் wg-quick பயன்படுத்தினால், வழிகள் உங்களுக்காக ஒவ்வொரு பியரின் அனுமதிக்கப்பட்ட பட்டியலிலிருந்து உருவாக்கப்படுகின்றன, நீங்கள் Table = off அமைத்து கட்டுப்பாட்டை நீங்களே எடுத்துக்கொள்ளாவிட்டால். இது கருவியின் ஆவணப்படுத்தப்பட்ட நடத்தை, இதனால்தான் வெளிப்படையான வழி வழிமுறைகள் இல்லாமல் கூட அமைப்பு வேலை செய்கிறது.

sudo wg show wg0 allowed-ips
ip route show | grep wg0
sudo wg-quick strip wg0

அனுமதிக்கப்பட்ட பட்டியலை உண்மையில் இருக்கும் வழிகளுடன் ஒப்பிடுங்கள். முழு துணை வலையமைப்பையும் அனுமதித்து ஆனால் ஒரு ஹோஸ்ட் வழியை மட்டும் உருவாக்கிய பியர் என்றால் உதவியாளர் ஒருபோதும் இயங்கவில்லை, அல்லது நீங்கள் இடைமுகத்தை நேரடியாக wg மற்றும் ip மூலம் நிர்வகிக்கிறீர்கள், அப்போது உங்களுக்காக எதுவும் வழிகளை உருவாக்காது.

நீங்கள் அதைக் கையால் நிர்வகிக்கும்போது, வழி ஒரு வரி மட்டுமே, அதன் வடிவம் தெளிவானது: இலக்கு இடைமுகம் வழியாக, நுழைவாயில் இல்லாமல் ஏனெனில் இணைப்பு புள்ளி-முதல்-புள்ளி. அதைச் சேர்ப்பது மோசமான முன்னொட்டுக்கான தற்காலிக தீர்வு அல்ல; வழிமாற்றத்தைத் தானே ஏற்றுக்கொண்ட வடிவமைப்பின் காணாமல் போன பாதி அது.

பரந்த முன்னொட்டு பியர் பதிவைச் சேர்ப்பதில்லை

கவர்ச்சிகரமான திருத்தம் என்னவென்றால் முகவரியை /24 ஆக மாற்றுவது, அதனால் இணைக்கப்பட்ட வழி சேவையகத்தின் உள்ளூர் வலையமைப்பை உள்ளடக்கும். அது வேலை செய்வதாகத் தெரிகிறது, வேலை செய்வதாகத் தெரிவதற்குக் காரணம் இணைக்கப்பட்ட வழி இப்போது பொருந்துகிறது, WireGuard புதிதாக ஏதோ கற்றுக்கொண்டது அல்ல.

நீங்கள் செய்த மற்றொன்று, முழு வீச்சையும் அந்த இணைப்பின் வழியாக நேரடியாக அணுகக்கூடியதாக உரிமை கோரியது, அதில் மற்ற பியர்களுக்கு அல்லது உண்மையில் சேவையகத்தின் பின்னால் உள்ள உள்ளூர் வலையமைப்புக்கு உரிய முகவரிகளும் அடங்கும். அந்த முகவரிகளுக்கான போக்குவரத்து இப்போது சுரங்கப்பாதைக்குள் நுழைகிறது, அது மறுபக்கத்தில் வெளியேறுகிறதா என்பது சேவையகத்தின் சொந்த வழிமாற்றம் மற்றும் அனுமதிக்கப்பட்ட பட்டியல்களைப் பொறுத்தது.

குறியாக்கப் பக்கம் எந்த நிலையிலும் பாதிக்கப்படுவதில்லை. WireGuard பியரைத் தேர்ந்தெடுக்க இலக்கை உள்ளடக்கிய அனுமதிக்கப்பட்ட பட்டியல் பதிவு இன்னும் தேவை, மறுபக்கம் உங்கள் மூலத்தை ஏற்க அதை உள்ளடக்கிய பதிவு இன்னும் தேவை. பரந்த இடைமுக முன்னொட்டால் இரண்டில் ஒன்றையும் வழங்க முடியாது.

எதையும் மாற்றும் முன் இரு திசைகளையும் உறுதிசெய்யுங்கள்

இரு முனைகளையும் தனித்தனியாகக் கையாளுங்கள், ஒவ்வொன்றும் என்ன சொல்கிறது என்று எழுதுங்கள். கிளையண்டில் வழி மற்றும் பியர் பதிவு; சேவையகத்தில் கண்ணாடிப் பிம்பம் மற்றும் அதன் சொந்த திரும்பும் பாதை:

ip route get 192.168.70.20
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo tcpdump -ni wg0 -c 10

பதிவு செய்வதே திசை பற்றிய தகராறுகளைத் தீர்க்கிறது. வெளிச்செல்லும் பாக்கெட்டுகள் சுரங்கப்பாதை இடைமுகத்தில் தோன்றி சேவையகம் எதையும் பதிவு செய்யவில்லை என்றால், தொலை முனை அவற்றை நிராகரிக்கிறது, பொதுவாக உங்கள் மூலம் அதன் அனுமதிக்கப்பட்ட பட்டியலுக்கு வெளியே இருப்பதால். எதுவும் தோன்றவில்லை என்றால், வழி காணாமல் உள்ளது அல்லது வேறெங்கோ சுட்டுகிறது.

பிறகு மிகக் குறுகிய முனையைச் சரிசெய்யுங்கள். சேவையகப் பக்கத்தில் உங்கள் கிளையண்ட் முகவரிக்கான அனுமதிக்கப்பட்ட பட்டியல் பதிவு மற்றும் கிளையண்ட் பக்கத்தில் இலக்கு துணை வலையமைப்புக்கான பதிவு சாதாரண வடிவம், அது இடைமுக முன்னொட்டைத் தொடுவதில்லை. முகவரி திட்டம் உண்மையில் அந்த இணைப்பில் பகிரப்பட்ட துணை வலையமைப்பை விரும்பினால் மட்டுமே முன்னொட்டை விரிவாக்குங்கள், அதை பிழைத்திருத்த படியாக அல்லாமல் திட்ட மாற்றமாகச் செய்யுங்கள்.