WireGuard n ṣiṣẹ lori data alagbeka ṣugbọn kii ṣe lori wifi kanna
Ibeere lati inu LAN si adirẹsi gbangba ti router gba ipa-ọna ti o yatọ si ti data alagbeka. Danwo ni ita lẹhinna yan ipa-ọna agbegbe.
Tunnel na dide lori data alagbeka ki o si duro lori sisopọ ni ile, pẹlu profaili kanna, bọtini peer kanna ati pe ko si iyipada iṣeto ni aarin. Iyatọ wa ninu irin-ajo: ibeere lati inu LAN si adirẹsi gbangba ti router kii ṣe irin-ajo kanna bi ibeere ti o wa lati intanẹẹti. Pupọ julọ awọn ẹnu-ọna ile boya ko ṣe ipa-ọna ipadabọ tabi ṣe e nikan fun awọn ilana kan. Iyẹn mu ki aami naa dabi bọtini ti o fọ nigba ti ko si nkan ti o ti gbe lori bọtini naa. Ṣe ipinnu irin-ajo wo ni o kuna ṣaaju ki o to fi ọwọ kan bọtini, gbigbe port tabi profaili alabara.
Adirẹsi kan, awọn ipa-ọna meji ti o yatọ
Lati ita, pakẹti kan de adirẹsi gbangba ti router ati pe ofin gbigbe port kan fi fun olugbọ WireGuard lori olugbalejo inu. Lati inu, alabara naa pe adirẹsi gbangba kanna, nitorina pakẹti naa jade kuro lọdọ alabara, de router ati pe o gbọdọ yipada pada si ọna LAN. Ni ipada yẹn ni awọn ipa-ọna meji pin, nitori router gbọdọ tumọ ṣiṣan kan ti o jade ti o tun wọle nipasẹ interface kanna. Ọpọlọpọ awọn imuse nfi silẹ dipo titumọ rẹ, ati pe alabara naa yoo duro de ọwọ-lilu ti a ko fi rara rẹ rán.
A maa n pe ihuwasi yii ni NAT loopback tabi hairpinning, ati pe o jẹ ti router kii ṣe ti WireGuard; RFC 4787 ṣe alaye awọn ọran itumọ ninu eyiti ẹnu-ọna le tabi ko le ṣe atilẹyin rẹ. WireGuard funrararẹ ko ni ero kan lori ipa-ọna naa, nitori o rii nikan awọn pakẹti ti o de interface rẹ. Nigbati router ba fi ṣiṣan naa silẹ, daemon ko gba nkankan rara, alabara naa sọ akoko ipari ti ọwọ-lilu, ati log olupin naa wa ni ofo. Log ti o ṣofo nitorina jẹ itọkasi si ibiti pakẹti naa ti duro, kii ṣe ẹri pe olupin naa ti ṣubu. Iyẹn ni idi paapaa ti fifi sori ẹrọ ko ṣe iyipada nkankan.
Idakeji naa tun ṣe pataki: log olupin ti o fihan igbiyanju ọwọ-lilu lati adirẹsi LAN jẹri pe pakẹti naa ti de ati pe ipa-ọna naa dara, eyiti o gbe iwadii naa si awọn bọtini ati awọn adirẹsi ti a gba laaye. Ka log naa fun ohun ti o jẹri, kii ṣe fun ohun ti o nireti lati ri.
Ṣe atunṣe rẹ ṣaaju ki o to yi nkankan pada
Danwo lati nẹtiwọọki ita ti a fun ni aṣẹ pẹlu ẹrọ kanna ati profaili kanna, lẹhinna tun idanwo naa ṣe ninu LAN laisi ṣatunkọ nkankan. Ọwọ-lilu ti o pari ni ita ati alabara ti o ninu ko fi ẹrọ naa silẹ rara n ṣe atunṣe ipo naa dipo ki o ṣe akiyesi rẹ. Awọn igbiyanju mejeeji gbọdọ lo profaili kanna, bibẹẹkọ ifiwera naa ko jẹri nkankan.
Lẹhinna wo ibiti orukọ opin ipa-ọna naa yanju si fun ẹrọ yii. Awọn aṣẹ mẹta wọnyi tun fihan adirẹsi wo ni alabara naa pe ni otitọ:
wg show wg0 endpoints
dig +short vpn.example.net A
resolvectl query vpn.example.netAṣẹ akọkọ sọ opin ipa-ọna ti interface n lo ni bayi, ati awọn meji miiran fihan ibiti orukọ naa yanju si lori ẹrọ yii. Alabara ti o pe adirẹsi gbangba lakoko ti o wa lori nẹtiwọọki kanna pẹlu olupin naa n lo ipa-ọna hairpin. Alabara ti o pe adirẹsi LAN ko ṣe bẹẹ, ati ikuna nibẹ jẹ ti iwadii miiran. Iyatọ yẹn pinnu boya apakan ti o tẹle yoo kan patapata.
Awọn ọna ti a ṣe atilẹyin lati de olupin ti o wa nitosi
Eto ti o mọ julọ ni idahun horizon pipin: orukọ gbangba yanju si adirẹsi gbangba fun intanẹẹti ati si adirẹsi LAN ti olupin fun awọn alabara inu. Profaili naa tọju orukọ opin ipa-ọna kan ati pe oluyanju naa yan ipa-ọna naa. Iyẹn nilo iṣakoso lori idahun DNS inu, eyiti router ile maa n pese ati pe agbari le ṣeto ni imọọmọ. Laisi iṣakoso yẹn, awọn yiyan ti o ku ni ẹya router tabi profaili keji.
Ẹya router naa ni iṣaro: ẹnu-ọna naa tumọ ṣiṣan naa lati inu si ita ati fi pada si inu. Nibiti o ti n ṣiṣẹ ko nilo iyipada alabara, ati nibiti ko ti ṣiṣẹ ko si eto alabara ti yoo gba a là. Danwo rẹ nipa wiwo log olupin lakoko igbiyanju inu dipo kika atokọ awọn ẹya router.
Ṣatunkọ profaili si adirẹsi aladani jẹ ayẹwo, kii ṣe apẹrẹ. O jẹri pe olupin naa dahun lori LAN, ati pe o fọ profaili kanna ni akoko ti laptop naa ba kuro ni ile.
| Approach | What it depends on | Where it fails |
|---|---|---|
| Split-horizon name | Control of the internal DNS answer | Clients that resolve through a server outside the zone |
| Router reflection | Gateway support for hairpin translation | Routers that drop the flow silently |
| Private address in the profile | Nothing beyond the LAN | Every network except the one at home |
Jẹ ki profaili naa wulo ni ita ile
Ipa-ọna eyikeyi ti o yan, fi ayẹwo idanimọ silẹ. Adirẹsi opin ipa-ọna kii ṣe idanimọ peer, ati iyipada adirẹsi ko ni da ẹtọ fun gbigba bọtini gbangba ti ko ni ibatan ti o ṣeeṣe dahun. WireGuard n jẹri nipasẹ bọtini, nitorina olugbalejo ti ko tọ kuna lori ọwọ-lilu dipo fifun iwọle si nkan ti a ko reti.
Ti adirẹsi gbangba ba gbe, DNS alagbeka ni o jẹ ki orukọ naa wulo, ati ihuwasi isọdọtun alabara naa pinnu bi iyipada naa ṣe yara de. Danwo iyẹn lati ita lẹhin iyipada adirẹsi, nitori ọran LAN ko le jẹri rẹ. Ṣọra fun oluyanju ti o tọju idahun atijọ sinu cache ju igbesi aye igbasilẹ naa lọ. Orukọ ti o tun tọka si adirẹsi ti tẹlẹ dabi ẹni pe olupin ti o ṣubu.
Kọ orukọ wo ni profaili naa n lo ati ibiti o yanju si ni ẹgbẹ kọọkan ti aala. Profaili ti o gbẹkẹle ẹya router ti ẹnikan ko ṣe akọsilẹ rẹ jẹ ipe atilẹyin ti o n duro de imudojuiwọn firmware ti o tẹle. Akọsilẹ naa tun ni ohun ti o sọ fun eniyan ti o tẹle boya ikuna inu jẹ ọran hairpin ti a mọ tabi nkan tuntun.