İki WireGuard peer aynı aralığı paylaşıyor: paketi hangisi alır
Çakışan aralıklar sırayla değil, en belirgin önekle çözülür. Herhangi bir şeyi genişletmeden önce önce rotayı, sonra peer listesini denetleyin.
İki peer birbirine değen aralıkları listeler ve trafik yanlış olana ulaşır. Hiçbir şey bozulmamıştır: WireGuard, hedefi yapılandırılmış aralıklarla eşleştirerek peer seçer ve en belirgin eşleşme kazanır. Herhangi bir şeyi genişletmeden önce hangi peer'ın hangi öneke sahip olması gerektiğine karar verin.
WireGuard içinde en uzun önek kazanır
Her peer girişi bir dizi hedef öneki taşır. Bir paket arayüze yönlendirildiğinde, uygulama en belirgin eşleşen öneke sahip girişi arar — yönlendirme tablosunun uyguladığı kuralın aynısı. Bu nedenle /24, onu içeren /16'yı yener ve daha dar peer trafiği alır.
Road-warrior kurulumları bunu bilerek kullanır. Bir peer bir site için geniş bir aralığa sahiptir ve tek tek ana makineler başka peer'lara ait /32 girişleriyle ayrılır. Desen işe yarar çünkü ayrılan parçalar daha belirgindir, sıralama yüzünden değil.
Sahipliği önek ve peer tablosu olarak yazın. İki giriş aynı öneki tanımlıyorsa, yapılandırma artık bir niyet değil, bir yarış ifade eder.
İşletim sistemi önce arayüzü seçer
WireGuard yalnızca tek bir arayüzdeki peer'lar arasından seçer. Paketi hangi arayüzün alacağı daha önce, ana makinenin yönlendirme tablosuyla belirlenir, ve ikinci bir varsayılan rota veya eski bir rota trafiği peer listesinin asla görmediği bir yere gönderebilir. Bu yüzden peer düzeyinde bir teşhis doğru olabilir ve yine de arızayı açıklamayabilir. Peer yapılandırmasını okumadan önce hedefin rotasını denetleyin, çünkü fiziksel arayüze işaret eden bir rota tüm soruyu atlar.
Araç genellikle bu rotaları peer aralıklarından kurar, bu da bir peer'ın listesindeki değişikliğin önceden başkasına ait olan trafiği sessizce yeniden yönlendirebileceği anlamına gelir. Dolayısıyla peer düzenlemek kılık değiştirmiş bir yönlendirme değişikliğidir. İkisini birlikte gözden geçirin, yoksa birini düzeltip diğerini bozarsınız.
Gelen paketler kaynağa göre denetlenir
Aralık listesi çift görev yapar. Giden trafik için hedefe göre peer seçer, gelen trafik için bir kaynak adresi yetkilendirir. O peer'ın aralıkları dışındaki bir adresten gelen paket, herhangi bir güvenlik duvarı onu görmeden önce düşürülür.
Yapılandırmanın tek tarafını okurken bu asimetriyi kaçırmak kolaydır. Bir alt ağa ulaşabilen peer, bu nedenle o alt ağdan gönderme yetkisine sahip değildir ve iki yön farklı denetimlerle uygulanır.
Dar kaynak sahipliği bunu avantaja çevirir. Her peer'a kendi adresi için bir /32 verin ve aşağıdaki güvenlik duvarının eşleştireceği güvenilir bir kaynağı olur, herhangi bir üyenin talep edebileceği grup çapında bir aralık yerine.
Yinelenen aralıklar failover değildir
Aynı öneki iki peer'a atamak bir yük dengeleyici veya yedek yol oluşturmaz. Durum denetimi de oturum benzeşimi de yoktur: kazanan girişi uygulamanın iç sırası belirler, bu da üzerine tasarım yapılacak bir sözleşme değildir. Alternatif çıkışlara ihtiyacınız varsa, seçimin tanımlandığı yerde bunları ifade edin. Bir yönlendirme politikası, bir metrik veya her biri belgelenmiş bir sahibe sahip iki farklı önek, öngörebileceğiniz ve test edebileceğiniz davranış üretir.
İlgisiz bir arızayı düzeltmek için aralığı genişletmek diğer yaygın hatadır. Trafiği çalışan peer'dan uzaklaştırır ve yeni belirti eskisi anlaşılmadan gelir.
Düzenlemeden önce seçimi doğrulayın
Üç komut üç soruyu sırayla yanıtlar. Birincisi her peer'ın talep ettiği aralıkları listeler. İkincisi ana makinenin bir hedef için hangi arayüzü kullanacağını gösterir. Üçüncüsü trafik aktıktan sonra peer'ların canlı durumunu gösterir.
wg show wg0 allowed-ips ip route get 10.66.8.20 wg show wg0 ip rule show
Bunları bir değişiklikten önce ve sonra çalıştırıp karşılaştırın. Rota çıktısı değiştiyse ama trafik hâlâ yanlış peer'a ulaşıyorsa, önek listeleri henüz yazmadığınız bir biçimde çakışıyor demektir. Rota çıktısı değişmediyse, peer yapılandırması hiçbir zaman danışılan şey olmamıştır.
Talebe hedefi, seçilen arayüzü ve seçilen peer'ı kaydedin. Bu üçlü, bir çakışmayı sonradan denetlenebilir kılan şeydir ve yapılandırmanın ekran görüntüsünden çok daha kullanışlıdır.