Ìfọwọ́sowọ́pọ̀ WireGuard ń ṣiṣẹ́, ṣùgbọ́n ẹ̀ka àwùjọ ọ́fíìsì kò dáhùn

Ìfọwọ́sowọ́pọ̀ náà ń parí, wg show ó ń ròyìn gbígbé àìpẹ́, àti àdírẹ́sì ihò sẹ́fà ń dáhùn píng. Ṣùgbọ́n ẹ̀rọ kan ní LAN sẹ́fà kò dáhùn. Àwọn ẹ̀yà mẹ́ta gbọ́dọ̀ wà ní àkókò kan: aláìsí gbọ́dọ̀ darí àkọ́kọ́ LAN sínú ihò, sẹ́fà gbọ́dọ̀ fi àwọn pákítì ránṣẹ́, àti ìdáhùn nílò ọ̀nà padà. Nígbà tí ọ̀kan nínú mẹ́ta bá ṣàìsí, àmì náà jẹ́ bákan náà.

AllowedIPs jẹ́ àkójọ ìwọlé àti tábìlì ọ̀nà ní àkókò kan

Ní aláìsí, àkójọ AllowedIPs náà ń pinnu ohun tí a lè ránṣẹ́ sí ẹlẹgbẹ́ yẹn àti àwọn ọ̀nà tí WireGuard ń fi sínú. Àkọsílẹ̀ ẹlẹgbẹ́ tí ó kàn ń ṣàkójọ àdírẹ́sì ihò sẹ́fà ń fi ọ̀nà ẹ̀rọ kan sínú, nítorí náà àwọn ibi LAN kò wọ inú ihò rárá. Fífi àkọ́kọ́ LAN kún un ni ohun àkọ́kọ́ tí a gbọ́dọ̀ yẹ̀wò, òun sì ni ìyípadà tí ó sábà ṣàìsí lẹ́yìn ẹ̀dà ìṣètò tí a dà. Ẹlẹgbẹ́ tí a gbòòrò sí ọ̀nà àìpé jẹ́ àpẹẹrẹ mìíràn, yóò sì tún gbé ìrìn àjò íńtánẹ́ẹ̀tì aláìsí.

Pa ọ̀nà ẹ̀rọ àti àkọ́kọ́ LAN mọ́ gẹ́gẹ́ bí àwọn àkọsílẹ̀ ọ̀tọ̀ọ̀tọ̀. Bí ófíìsì bá ní ẹ̀ka méjì, àwọn méjèèjì wà nínú àkójọ, àkọ́kọ́ kejì tí ó ṣàìsí ń dá ìkùnà tí ó dàbí yíyan, kì í ṣe kíkún.

[Peer]
PublicKey = <server public key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.66.0.1/32, 192.168.50.0/24

Ìfiránṣẹ́ àti ìtumọ̀ jẹ́ ti sẹ́fà

Sẹ́fà nílò ìfiránṣẹ́ IP tí ó ṣí, ìlànà ìfiránṣẹ́ tí ó gba ìrìn àjò tí ó ń bọ̀ láti ihò, àti ìlànà ìtumọ̀ sí ọ̀nà LAN rẹ̀. Ìtumọ̀ náà ni ó ń jẹ́ kí àpẹẹrẹ náà ṣiṣẹ́ láìfi ọwọ́ kan gbogbo ẹ̀rọ nínú àwùjọ ọ́fíìsì. Nígbà náà àwọn ìdáhùn ń padà sí sẹ́fà dípò àdírẹ́sì tí LAN kò gbọ́ rí. Láìsí rẹ̀, ẹ̀rọ kọ̀ọ̀kan nílò ọ̀nà sí ẹ̀ka ihò àti ìlànà ògiri iná tí ó gbà á, èyí tí kì í sábà jẹ́ ìtẹ́wọ́gbà nínú àwùjọ tí ẹlòmíràn ń ṣàkóso.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Àwọn ìlànà tí a fi ọwọ́ kún un ń pòórá nígbà àtúnbẹ̀rẹ̀, nítorí náà so wọ́n mọ́ ọ̀nà pẹ̀lú àwọn àṣẹ hook nínú ìṣètò sẹ́fà. Àkójọ ìlànà tí ó ń gbé àkókò tó ju ọ̀nà rẹ̀ lọ ni bí ẹ̀rọ kan ṣe ń parí pẹ̀lú ìtumọ̀ ìrìn àjò fún ihò tí kò sí mọ́.

Nígbà tí LAN gbé, tí ìlànà kò gbé

Yíyí ẹ̀rọ ìdarí padà tí ó ń tún ẹ̀ka ọ́fíìsì kọ ni ẹ̀yà àtẹ́nọ́nọ́ ti ìkùnà yìí. Ihò náà ń wà lórí, ìfọwọ́sowọ́pọ̀ ń wà tuntun, kò sì sí ohun tí ń dáhùn lẹ́yìn sẹ́fà, nítorí ìlànà ìtumọ̀ ṣì ń pe àdírẹ́sì àtijọ́. Àwọn àkọsílẹ̀ ìfiṣeétò sábà ń fi àdírẹ́sì LAN sẹ́fà sínú ìlànà POSTROUTING, lẹ́yìn àtúnkọ pẹ̀lú àdírẹ́sì yẹn kò sí lórí ọ̀nà kankan. Nígbà náà àwọn pákítì ni a tún kọ sí ibi tí kò lè dáhùn.

iptables -t nat -n -L POSTROUTING
ip -br addr show

Fi àwọn ìjáde méjèèjì wé. Ibi ìtumọ̀ tí kò hàn nínú àkójọ ọ̀nà ni àṣìṣe náà, fífi àtúnṣe rẹ̀ jẹ́ ìyípadà ìlà kan lẹ́yìn tí o bá ti rí i. Ìlànà náà lè wà nínú unit tí a ṣẹ̀dá dípò ìṣètò WireGuard, nítorí náà tún unit yẹn gbé lẹ́yìn àtúnṣe kí o sì jẹ́rìí pé ìbẹ̀rẹ̀ tó kàn kò tún ìyípadà rẹ kọ.

Àwọn ibi méjì lẹ́yìn NAT nílò ibi ìpàdé

Nígbà tí kò sí ẹ̀gbẹ́ tí ó gba àwọn ìsopọ̀ tí ń wọlé, ìdáhùn tí ó wúlò ni ẹ̀rọ kékeré pẹ̀lú àdírẹ́sì gbangba àti ọ̀nà WireGuard méjì. Ibi kọ̀ọ̀kan ń sopọ̀ síta, ẹ̀rọ àárín ń ṣàkójọ LAN ẹlẹgbẹ́ kọ̀ọ̀kan nínú AllowedIPs, ìyẹn àkójọ tirẹ̀, ìfiránṣẹ́ sì ń gbé àwọn pákítì láàrin ihò méjèèjì. Kò sí ohun nínú ògiri iná ibi kankan tí ó gbọ́dọ̀ yí padà, nítorí náà àpẹẹrẹ yìí ń tàn káàkiri ní ìrọ̀rùn.

Ìdarí ọ̀nà láàrin àwọn ibi ń pa àwọn àdírẹ́sì orísun àkọ́kọ́ mọ́, nítorí náà ó ń jẹ́ kí gbígbà àkọsílẹ̀ fún ẹ̀rọ kọ̀ọ̀kan ní ìtumọ̀. Ìtumọ̀ ní ẹ̀rọ àárín rọrùn nígbà tí LAN méjèèjì bá ń wọ ara wọn, ṣùgbọ́n ní iye ìpadánù ìdánimọ̀ orísun nínú àwọn àkọsílẹ̀. Pinnu irú ànímọ́ tí ó ṣe pàtàkì kí o tó yàn.

Ya àwọn ìpele kúrò pẹ̀lú àyẹ̀wò mẹ́rin

Ṣe àyẹ̀wò kan fún ìpele kọ̀ọ̀kan dípò yíyí ohun mẹ́ta padà àti ìrètí. Èkínní ń fi ọjọ́ orí ìfọwọ́sowọ́pọ̀ àti àwọn kàńtà fún ẹlẹgbẹ́ kọ̀ọ̀kan hàn. Èkejì ń fi hàn bóyá aláìsí ń darí ibi yẹn sínú ihò gan-an. Ẹ̀kẹta àti ẹ̀kẹrin ń sọ bóyá ìbéèrè dé àti bóyá ìlànà kan ju sílẹ̀ lẹ́yìn tí ó dé.

wg show
ip route get 192.168.50.20
tcpdump -ni wg0 icmp
iptables -vnL FORWARD --line-numbers

Ìbéèrè tí ó dé tí kò sì mú ìdáhùn wá ń tọ́ka sí ọ̀nà ìdáhùn tàbí ẹ̀rọ LAN. Ìbéèrè tí kò dé rárá ń tọ́ka sí AllowedIPs tàbí ọ̀nà aláìsí. Àwọn àbájáde méjèèjì nílò àtúnṣe ọ̀tọ̀ọ̀tọ̀, àti gbígbà ni ó ń yà wọ́n sọ́tọ̀.