Dalawang peer ng WireGuard ay nagbabahagi ng isang saklaw: sino ang tumatanggap ng packet

Dalawang peer ang naglilista ng magkatabing saklaw, at ang trapiko ay nakakarating sa mali. Walang nasira: pinipili ng WireGuard ang peer sa pamamagitan ng pagtutugma ng destinasyon sa mga naka-configure na saklaw, at ang pinaka-tiyak na tugma ang nananalo. Bago mo palawakin ang anuman, magpasya kung aling peer ang dapat magmay-ari ng aling prefix.

Ang pinakamahabang prefix ang nananalo sa loob ng WireGuard

Ang bawat entry ng peer ay may dalang set ng mga prefix ng destinasyon. Kapag ang isang packet ay niruruta papasok sa interface, hinahanap ng implementasyon ang entry na may pinaka-tiyak na tugmang prefix — ang parehong tuntunin na inilalapat ng routing table. Kaya ang /24 ay nananalo sa /16 na naglalaman nito, at ang mas makitid na peer ang tumatanggap ng trapiko.

Ginagamit ito ng mga setup na road-warrior nang sinasadya. May isang peer na nagmamay-ari ng malawak na saklaw para sa isang site, at ang mga indibidwal na host ay hinihiwalay gamit ang mga /32 entry na pag-aari ng ibang peer. Gumagana ang pattern dahil mas tiyak ang mga paghihiwalay, hindi dahil sa pagkakasunod-sunod.

Isulat ang pagmamay-ari bilang talahanayan ng prefix at peer. Kung ang dalawang entry ay naglalarawan ng parehong prefix, hindi na nagpapahayag ng layunin ang configuration, nagpapahayag ito ng karera.

Pinipili muna ng operating system ang interface

Pinipili lamang ng WireGuard sa mga peer sa isang interface. Kung aling interface ang tatanggap ng packet ay napagpasyahan nang mas maaga, ng routing table ng host, at ang ikalawang default na ruta o isang lumang ruta ay maaaring magpadala ng trapiko sa lugar na hindi kailanman nakikita ng listahan ng peer. Ito ang dahilan kung bakit ang diagnosis sa antas ng peer ay maaaring tama at hindi pa rin maipaliwanag ang kabiguan. Suriin ang ruta patungo sa destinasyon bago basahin ang configuration ng peer, dahil ang rutang tumuturo sa pisikal na interface ay lumalampas sa buong tanong.

Karaniwang ini-install ng tool ang mga rutang iyon mula sa mga saklaw ng peer, na nangangahulugang ang pagbabago sa listahan ng isang peer ay maaaring tahimik na mag-redirect ng trapikong dating pag-aari ng iba. Kaya ang pag-edit ng peer ay isang pagbabago sa routing na naka-disfraz. Suriin ang dalawa nang sabay, o aayusin mo ang isa at masisira ang isa.

Ang mga papasok na packet ay sinusuri ayon sa pinagmulan

Ang listahan ng saklaw ay may dalawang tungkulin. Para sa papalabas na trapiko pinipili nito ang peer ayon sa destinasyon, at para sa papasok na trapiko pinapayagan nito ang isang address ng pinagmulan. Ang isang packet na dumarating mula sa address sa labas ng mga saklaw ng peer na iyon ay itinatapon bago pa man ito makita ng anumang firewall.

Ang kawalan ng simetrya na ito ay madaling makaligtaan kapag binabasa mo ang isang panig ng configuration. Ang isang peer na makakarating sa isang subnet ay hindi dahil doon pinapayagang magpadala mula sa subnet na iyon, at ang dalawang direksyon ay ipinatutupad ng magkaibang pagsusuri.

Ang makipot na pagmamay-ari ng pinagmulan ay ginagawang kalamangan ito. Bigyan ang bawat peer ng /32 para sa sarili nitong address at ang firewall sa ibaba ay may mapagkakatiwalaang pinagmulan na itutugma, sa halip na isang saklaw para sa buong grupo na maaaring angkinin ng sinumang miyembro.

Ang mga doble na saklaw ay hindi failover

Ang pagtatalaga ng parehong prefix sa dalawang peer ay hindi lumilikha ng load balancer o standby na landas. Walang health check at walang session affinity: ang nananalong entry ay pinagpapasyahan ng panloob na pagkakasunod-sunod ng implementasyon, na hindi isang kontratang dapat mong idisenyo. Kung kailangan mo ng mga alternatibong labasan, ipahayag ang mga ito kung saan tinukoy ang pagpili. Ang isang patakaran sa routing, isang metric, o isang pares ng magkaibang prefix na may nakadokumentong may-ari ang bawat isa ay gumagawa ng pag-uugali na maaari mong hulaan at subukan.

Ang pagpapalawak ng saklaw upang ayusin ang isang walang kaugnayang kabiguan ay ang isa pang karaniwang pagkakamali. Inilalayo nito ang trapiko mula sa peer na gumagana, at ang bagong sintomas ay dumarating bago pa maintindihan ang luma.

I-verify ang pagpili bago mag-edit

Tatlong command ang sumasagot sa tatlong tanong sa pagkakasunod-sunod. Ang una ay naglilista ng mga saklaw na inaangkin ng bawat peer. Ang ikalawa ay nagpapakita kung aling interface ang gagamitin ng host para sa isang destinasyon. Ang ikatlo ay nagpapakita ng live na estado ng peer pagkatapos dumaloy ang trapiko.

wg show wg0 allowed-ips
ip route get 10.66.8.20
wg show wg0
ip rule show

Patakbuhin ang mga ito bago at pagkatapos ng pagbabago at ihambing. Kung nagbago ang output ng ruta ngunit nakakarating pa rin ang trapiko sa maling peer, nag-o-overlap ang mga listahan ng prefix sa paraang hindi mo pa naisusulat. Kung hindi nagbago ang output ng ruta, ang configuration ng peer ay hindi kailanman ang tinatanong.

Itala sa ticket ang destinasyon, ang piniling interface at ang piniling peer. Ang triplet na iyon ang gumagawa ng overlap na masusuri sa ibang pagkakataon, at mas kapaki-pakinabang ito kaysa sa screenshot ng configuration.