ஒரு WireGuard சகன் அடைய முடியாத நிலையில் மற்றொன்று வேலை செய்கிறது: சரிபார்ப்புப் பட்டியல்

ஒரு WireGuard சகன் போக்குவரத்தைக் கடத்துகிறது, இரண்டாவது கைக்குலுக்கலை முடிக்கிறது ஆனால் சுரங்கப்பாதைக்குப் பின்னால் எதையும் ஒருபோதும் அடைவதில்லை. வேலை செய்யும் சகன் இடைமுகம், UDP துறைமுகம் மற்றும் சேவையகத்தின் விசை பெரும்பாலும் சரியாக இருக்கலாம் என்று கூறுகிறது. இரண்டாவது சகனின் AllowedIPs, அதன் உள் மூல முகவரி அல்லது அவற்றுக்கு இடையிலான அனுப்பீட்டு விதிகள் பற்றி அது எதுவும் கூறுவதில்லை. பட்டியலை வரிசையாக முடித்து நிபந்தனை தோல்வியடையும் முதல் படிநிலையில் நிறுத்துங்கள்.

படி 1: பொதி செல்ல வேண்டிய பாதையை எழுதுங்கள்

ஒரே மையத்தில் உள்ள இரண்டு வாடிக்கையாளர்கள் தாமாக ஒருவரை ஒருவர் அடைவதில்லை. மையம் மற்றும் கதிர்கள் வடிவமைப்பில் சேவையகம் பொதியை wg0 இல் பெற்று அதை மீண்டும் wg0 இலிருந்து மற்ற சகனுக்கு அனுப்ப வேண்டும், இதற்கு IP அனுப்பீடு மற்றும் அனுப்பீட்டு விதி தேவை. நேரடி சகன்-க்கு-சகன் வடிவமைப்பில் ஒவ்வொரு பக்கமும் மறுபக்கத்தின் முனைப்புள்ளி மற்றும் மறுபக்கத்தின் சுரங்க முகவரியை AllowedIPs உள்ளே வைத்திருக்க வேண்டும். எந்த கட்டமைப்பையும் படிக்கும் முன் நீங்கள் பிழைதிருத்தும் வடிவமைப்பை முடிவு செய்யுங்கள்.

எதிர்பார்க்கப்படும் பாதை எங்கே பார்க்க வேண்டும் என்பதையும் கூறுகிறது. பொதி மையத்தைக் கடக்க வேண்டும் என்றால், தோல்வியடையும் தாவல் அனுப்புபவரின் AllowedIPs, மையத்தின் அனுப்பீடு அல்லது பெறுபவரின் AllowedIPs ஆகும். அது நேரடியாகச் செல்ல வேண்டும் என்றால், மையம் பொருத்தமற்றது மற்றும் இரு சகன்களின் முனைப்புள்ளி புலங்களே முக்கியம்.

படி 2: AllowedIPs ஐ இரு பக்கங்களிலும் ஒப்பிடுங்கள், ஒரு பக்கத்தில் மட்டும் அல்ல

WireGuard AllowedIPs ஐ வழிப்பாதை அட்டவணையாகவும் அணுகல் பட்டியலாகவும் ஒரே நேரத்தில் பயன்படுத்துகிறது. அனுப்பும்போது சுரங்கத்தைத் தேர்ந்தெடுக்க இலக்கு முகவரி சகனின் AllowedIPs இல் தேடப்படுகிறது; பெறும்போது உள் மூல முகவரி அனுப்பும் சகனின் AllowedIPs உள்ளே விழ வேண்டும், இல்லையேல் பொதி நிராகரிக்கப்படும். எந்தப் பக்கத்திலும் வரம்பு இல்லாதிருந்தால் அதே அறிகுறி: போக்குவரத்து வேலை செய்கிறது, சுமை மறைந்துவிடுகிறது.

கோப்பை விட நேரடி நிலையைப் படியுங்கள், ஏனெனில் மீள்ஏற்றம் அமைதியாகத் தோல்வியடைந்திருக்கலாம்: sudo wg show wg0 allowed-ips. சேவையகத்தில் தோல்வியடைந்த சகனின் பதிவில் அதன் சுரங்க முகவரி இருக்க வேண்டும், எடுத்துக்காட்டாக 10.90.0.3/32. வாடிக்கையாளரில் சேவையக சகனின் பதிவில் நீங்கள் சோதிக்கும் இலக்கு இருக்க வேண்டும், அது மையத்தின் சுரங்க முகவரியோ தொலை சப்நெட்டோ. ஒன்றின் மேல் ஒன்று விழும் வரம்புகள் தேடலைத் தெளிவற்றதாக்கி நீங்கள் கருதாத சகனைத் தேர்ந்தெடுக்கலாம், எனவே அவற்றைத் தனியாக வைத்திருங்கள்.

படி 3: உள் மூல முகவரியைச் சரிபாருங்கள்

10.90.0.3 ஐ wg0 வழியாக வழிப்பாதையாக்கி ஆனால் பொதிகளைத் தன் Wi-Fi முகவரியிலிருந்து அனுப்பும் வாடிக்கையாளர் பெறுபவரால் நிராகரிக்கப்படுவார், ஏனெனில் மூலம் சகனின் AllowedIPs உடன் பொருந்தவில்லை. கர்னல் உண்மையில் எதைத் தேர்ந்தெடுக்கிறது என்பதை ip route get 10.90.0.3 from 10.90.0.2 மூலமும், சுரங்க இடைமுகத்திற்கு வழங்கப்பட்ட முகவரியை ip -brief addr show wg0 மூலமும் உறுதிப்படுத்துங்கள்.

பெறும் Linux ஹோஸ்ட்டில் தலைகீழ் பாதை வடிகட்டுதல் இரண்டாவது வாசல். பின்னடைவுப் பாதையைக் கொண்ட இடைமுகத்தில் கடுமையான rp_filter வந்த இடைமுகத்துடன் திரும்பும் பாதை பொருந்தாத சுரங்க போக்குவரத்தை நிராகரிக்கலாம். முடக்குவதற்கு முன் பயனுள்ள மதிப்பைச் சரிபாருங்கள்; பல அமைப்புகளில் சரியான திருத்தம் ஒரு வழிப்பாதை, தளர்த்தப்பட்ட வடிகட்டி அல்ல.

படி 4: மையத்தின் அனுப்பீடு மற்றும் திரும்பும் பாதையை மதிப்பாய்வு செய்யுங்கள்

மையம் சகன்களுக்கு இடையே அனுப்ப வேண்டும் என்றால், கர்னலுக்கு net.ipv4.ip_forward=1 தேவை, மேலும் தீச்சுவர் அனுப்பப்பட்ட ஓட்டத்தை ஏற்க வேண்டும்: wg0 இல் உள்ளே, wg0 இல் வெளியே, அனுப்புபவரின் சுரங்க முகவரியிலிருந்து பெறுபவரின் முகவரிக்கு. பொதுவான தோல்வி என்பது UDP 51820 ஐ ஏற்கும் உள்ளீட்டு விதி இருக்கும் ஆனால் அனுப்பீட்டு விதி இல்லாதிருப்பது], எனவே கைக்குலுக்கல் வெற்றியடைகிறது, சுமை இறந்துவிடுகிறது. பயனுள்ள விதிகளை sudo nft list ruleset அல்லது உங்கள் தீச்சுவர் மேலாளரின் சமமான கட்டளையால் பட்டியலிடுங்கள்.

பிறகு பதிலைச் சரிபாருங்கள். இலக்கு ஹோஸ்ட்டுக்கு அனுப்புபவருக்குத் திரும்பும் வழிப்பாதை இருக்க வேண்டும், அது மையம் வழியாகவோ அதன் சொந்த நுழைவாயில் வழியாகவோ. மையம் சுரங்க சப்நெட்டுக்கும் NAT செய்தால், மொழிபெயர்ப்பு அனுப்பப்பட்ட ஓட்டத்திற்குப் பொருந்துகிறது என்பதையும் நிலை காலாவதியாகும் முன் பதில் மையத்தை அடைகிறது என்பதையும் உறுதிப்படுத்துங்கள். விசைச் சிக்கல் போலத் தோன்றும் ஒருவழித் தோல்வி பல நேரங்களில் இந்தத் திரும்பும் வழிப்பாதையே.

இறுதியாக, கைக்குலுக்கலைத் தரவிலிருந்து பிரிக்கவும். கைக்குலுக்கலை முடித்து ஆனால் பெரிய பரிமாற்றங்களில் தேங்கும் சகன் பொதுவாக அந்தக் குறிப்பிட்ட பாதையில் MTU அல்லது MSS சிக்கலைக் கொண்டிருக்கும், AllowedIPs சிக்கல் அல்ல. முதலில் சிறிய பிங்கால், பின்னர் முழு அளவிலான பிங்கால் சோதித்து இரு சகன்களையும் ஒப்பிடுங்கள்.

படி 5: ஒரு விஷயத்தை மாற்றி வேலை செய்யும் சகனைப் பாதுகாப்பாக வைத்திருங்கள்

தோல்வியடையும் பாதையில் ஒரே ஒரு மாற்றத்தைச் செய்து இரு சகன்களையும் மீண்டும் சோதியுங்கள். ஒவ்வொரு சகனின் AllowedIPs ஐ 0.0.0.0/0 ஆல் மாற்றுவது ஏற்கெனவே வேலை செய்த சகனை உடைக்கும் வேகமான வழி, ஏனெனில் அது அந்த இடைமுகத்தின் அனைத்துப் போக்குவரத்துக்கும் வழிப்பாதை முடிவை மாற்றுகிறது. அந்த ஒரு பதிவைத் திருத்தி, மீண்டும் ஏற்றி, நேரடி நிலையை மீண்டும் படியுங்கள்.

எந்தப் பாதை வெற்றியடைந்தது, எது தோல்வியடைந்தது மற்றும் ஒவ்வொன்றின் சரியான கட்டளை வெளியீட்டைப் பதிவு செய்யுங்கள். அந்த ஒப்பீடு VPN உடைந்துள்ளது என்ற பொதுவான அறிக்கையை விட மதிப்புமிக்கது, அடுத்த நபர் முதலில் கேட்பது அதுவே.