WireGuard ń ṣiṣẹ́ kìkì lẹ́yìn tí olùpèsè bá kọ́kọ́ ránṣẹ́: ìmọ̀ ibi-ìparí

Ó dàbí ẹni pé ọ̀nà-àbẹ̀wò náà ń ṣiṣẹ́ kìkì lẹ́yìn tí olùpèsè bá kọ́kọ́ rán nǹkan kan. Bẹ̀rẹ̀ láti ọ̀dọ̀ alákọ̀ọ́kọ́sí, kò sí nǹkan tí ń ṣẹlẹ̀, dúró fún àwọn ìṣẹ́jú-àáyá mélòó kan, gbìyànjú lẹ́ẹ̀kan sí i, yóò sì ṣàṣeyọrí. Ìwádìí ìdánimọ̀ tí ó wọ́pọ̀ ni NAT tí ó ti bàjẹ́, àti pé ìwádìí ìdánimọ̀ tí ó wọ́pọ̀ náà kò tọ̀nà. Ohun tí ó yí padà ni pé ẹnìkan ti kọ́ ibi tí ẹlòmíràn ń gbé.

Ìmọ̀ ibi-ìparí, kì í ṣe ìwọlé

WireGuard kò ní bẹ̀rẹ̀ ìfọwọ́sowọ́pọ̀ títí tí yóò fi mọ ibi tí yóò gbà á lọ. Ìṣètò máa ń fúnni ní bí ibi-ìparí àdírẹ́sì àti ibùdókọ̀, ipò tí ń ṣiṣẹ́ sì ń tọpinpin ibi-ìparí tí ó gbàgbọ́ nísinsìnyí.

wg show ń tẹ ẹ̀gbẹ́ méjèèjì àwòrán yẹn, ẹnìkan tí kò ní ibi-ìparí nínú àbájáde kò lè bẹ̀rẹ̀ nǹkan kan, bó tiẹ̀ jẹ́ pé kọ́kọ́rọ́ gbogbo ènìyàn àti àwọn ìpilẹ̀ṣẹ̀ tí a gbà láyè tọ̀nà. Fi ojú-ìwòye alákọ̀ọ́kọ́sí wé ti olùpèsè kí o tó yí ìlànà kan padà, nítorí àwọn méjèèjì kì í sábà gbà pé ẹnìkan mọ nǹkan kan.

Bí ẹnìkan ṣe ń kọ́ ibi-ìparí

WireGuard dákẹ́ mọ́ àmọ̀ọ́mọ̀. Nígbà tí àpótí tí a ti jẹ́rìí rẹ̀ dáadáa bá dé láti àdírẹ́sì tí ẹnìkan kò retí, ìmúṣẹ ń ṣe àtúnṣe ibi-ìparí ẹnìkan yẹn sí orísun tuntun, àti báyìí ni ìrìn-àjò ṣe ń ṣiṣẹ́ lórí kọ̀ǹpútà tí ń yí nẹ́tíwọ́kì padà. Ìhùwàsí yẹn ń ṣàlàyé ìdàgbàsókè lórí ìtọ́sọ́nà: bí olùpèsè bá kọ́kọ́ ránṣẹ́ tí àpótí rẹ̀ sì dé ọ̀dọ̀ alákọ̀ọ́kọ́sí, alákọ̀ọ́kọ́sí yóò kọ́ àdírẹ́sì olùpèsè lọ́wọ́lọ́wọ́ yóò sì lè dáhùn. Títí di ìgbà yẹn kò ní ibi tí yóò gbà á lọ. Ọ̀nà náà ni ìrìn-àjò tí a jẹ́rìí rẹ̀, kì í ṣe ọ̀nà kúkúrú ìgbẹ́kẹ̀lé ní ìgbà àkọ́kọ́, nítorí àpótí náà gbọ́dọ̀ wà ní ẹ̀tọ́ kí ibi-ìparí tó ṣí kúrò.

Ìwé ìtọ́ni àwọn irinṣẹ́ fún wg ṣàlàyé àtúnṣe yẹn, ó sì tọ́ pé kí o kà á lẹ́ẹ̀kan bí ìwọ yóò bá ṣe àgbékalẹ̀ ní àyíká rẹ̀.

Ìtumọ̀ tí ó ní ipò ń fi ìtọ́sọ́nà tirẹ̀ kún un

Níbi tí UDP bá gba ẹnubodè tí ń túmọ̀ kọjá, ẹnubodè náà ń dá ipò sílẹ̀ fún àpótí àkọ́kọ́ tí ó rí. RFC 4787 ṣàlàyé ìhùwàsí yẹn àti àwọn àkókò tí yóò gbé àwòrán náà kúrò nígbẹ̀yìn. Àwòrán tí kò ṣiṣẹ́ máa ń parí, àpótí tí ń wọlé láti ẹ̀gbẹ́ jíjìnnà yóò sì di jíjù lọ́wọ́ ẹnubodè kí ó tó dé ọ̀dọ̀ agbàlejò. Ọ̀nà-àbẹ̀wò tí ó ṣiṣẹ́ gbogbo àárọ̀ máa ń jáwọ́ ìdáhùn ní ọ̀sán gangan nítorí ìdí yìí.

Èyí ni ọ̀nà kejì tí ó sì dáńtọ́ tí ń mú àmì ìtọ́sọ́nà kan náà jáde. Ìmọ̀ ibi-ìparí àti ipò ìtumọ̀ ní láti tọ̀nà méjèèjì, àti pé ṣíṣe àtúnṣe ọ̀kan kò ṣe àtúnṣe èkejì.

Ṣètò ìtọ́sọ́nà tí ìwọ fẹ́ gan-an

Fún alákọ̀ọ́kọ́sí tí ó gbọ́dọ̀ bẹ̀rẹ̀ ìsopọ̀, fi ibi-ìparí olùpèsè sínú apá ẹnìkan ti alákọ̀ọ́kọ́sí kí o sì fi síbẹ̀. Gbígbẹ́kẹ̀lé pé olùpèsè yóò kọ́kọ́ ránṣẹ́ ni gbígbẹ́kẹ̀lé àìròtẹ́lẹ̀ nínú ìtòlẹ́sẹẹsẹ ìrìnàjò tí yóò yí padà nínú nẹ́tíwọ́kì tí ó dákẹ́. Ìṣètò yẹ kí ó sọ ìtọ́sọ́nà tí a pète, kì í ṣe láti ṣàwárí rẹ̀.

Fún ẹnìkan tí ó wà lẹ́yìn ìtumọ̀ tí ó gbọ́dọ̀ wà ní àárò, tanná keepalive aláìlópin ní ẹ̀gbẹ́ yẹn. Keepalive ní gbogbo ìṣẹ́jú-àáyá 25 ni iye ìbẹ̀rẹ̀ tí ó wọ́pọ̀, àti pé èrò rẹ̀ ni láti jẹ́ kí àwòrán náà ṣí sílẹ̀, kì í ṣe láti dán ọ̀nà-àbẹ̀wò wò. Yan ẹ̀gbẹ́ kan tí yóò gbé e, nítorí títanná rẹ̀ ní ẹ̀gbẹ́ méjèèjì ń ìlọ́po méjì ìrìnàjò àti ariwo àkọsílẹ̀ láì mú àbájáde dára sí i.

Fi ipò wé kí ó tó ṣẹlẹ̀ àti lẹ́yìn tí ó ṣẹlẹ̀

Gba ojú-ìwòye méjèèjì ní àkókò tí ó kùnà, lẹ́yìn náà lẹ́ẹ̀kan sí i lẹ́yìn tí olùpèsè ránṣẹ́. Àṣẹ àkọ́kọ́ ń fi àwọn ibi-ìparí àti ọjọ́-orí ìfọwọ́sowọ́pọ̀ hàn. Èkejì ń fi hàn bóyá àkọsílẹ̀ ìtumọ̀ wà fún ibùdókọ̀ náà. Àkọsílẹ̀ náà ń fi hàn ìtọ́sọ́nà wo ni ó kọjá okùn ní ti gidi, ìyẹ̀wò ọ̀nà sì ń jẹ́rìí pé alákọ̀ọ́kọ́sí kò ń rán ìrìnàjò yẹn lọ síbòmííràn pátápátá.

wg show
conntrack -L -p udp 2>/dev/null | grep 51820
tcpdump -ni any -c 20 'udp port 51820'
ip route get 198.51.100.7

Kọ ọ̀wọ̀n ibi-ìparí àti àkọsílẹ̀ ìtumọ̀ pa pọ̀. Ẹnìkan tí kò ní ibi-ìparí àti ẹnubodè tí kò ní àwòrán jẹ́ àìtọ́ méjì tí ó yàtọ̀. Ọ̀kan nínú wọn nìkan ni keepalive ń túnṣe.