wg-quick breek DNS by verbinding: lees die opstel-fout

Die tonnel kom op, die handskud voltooi, en naamoplossing stop. Niks in die eweknie-konfigurasie het verander nie, want die DNS-reël was nooit deel van die eweknie-konfigurasie nie. Dit hoort by die opstelhulp, wat beteken die fout sit in die gasheer se resolver-gereedskap eerder as in WireGuard se sleutels.

Lees die eerste boodskap wat die hulp gedruk het, nie die laaste een nie, en die verskil tussen ’n ontbrekende nutsmiddel en ’n onbereikbare bediener word duidelik.

Die DNS-reël is ’n hulpfunksie

Die kernkonfigurasie-velde beskryf eweknieë, sleutels en toegelate adresse. Naamoplossing word bo-op bygevoeg deur watter skrip die koppelvlak ook al opbring, en elke implementering doen dit anders. ’n Lessenaarkliënt kan DNS deur sy eie diens bestuur, ’n verspreidingskrip kan een van verskeie resolver-nutsmiddels aanroep, en ’n houer kan nie een van die twee doen nie. Die konfigurasielêer kan jou nie sê watter van daardie paaie geld nie.

Dit is waarom ’n konfigurasielêer geldig kan wees vir die protokol en steeds tydens opstel kan misluk: die fout hoort by ’n haak wat die protokol nooit sien nie.

Om ’n uitgebreide veld in ’n kernkonfigurasie te skryf en te verwag dat die protokol-gereedskap dit aanvaar, skep dieselfde verwarring uit die ander rigting. Die twee ontleders lees verskillende lêers.

Om te weet watter een loop, is die eerste diagnostiese stap, en dit is gewoonlik sigbaar in die opdrag wat jy getik het eerder as in die konfigurasielêer.

Lees die eerste fout wat die hulp druk

Bring die koppelvlak in die voorgrond op en lees die uitset in volgorde. ’n Ontbrekende resolver-nutsmiddel, ’n mislukte haak en ’n onbereikbare bediener stop almal dieselfde opdrag op verskillende punte, en elkeen het ’n ander herstel.

wg-quick up wg0
resolvectl status wg0
ip route get 10.66.0.1

Die eerste opdrag rapporteer opstelvordering, die tweede wys watter bedieners die koppelvlak nou opeis, en die derde wys of die resolver-adres werklik deur die tonnel bereikbaar is. ’n Resolver wat opgestel is maar nie roeteerbaar nie, lewer tydsverloop eerder as konfigurasiefoute, en daarom hoort die twee kontroles saam. Om net die status-uitset te lees, lewer ’n selfversekerde en verkeerde gevolgtrekking.

As die opstel voltooi is en naamoplossing steeds misluk, vergelyk die resolver wat die hulp geïnstalleer het met die een wat die netwerk vantevore gebruik het. ’n Private resolver het ’n roete deur die tonnel nodig, en ’n konfigurasie wat dit lys sonder om sy voorvoegsel te dek, laat elke navraag wag.

Watter resolver die gasheer werklik het

Moderne Linux-gashere hardloop dikwels ’n plaaslike stomp-resolver, so die adres wat die hulp installeer, word deur daardie stomp verbruik eerder as deur toepassings direk. Om ’n gegenereerde lêer met die hand te wysig, kan werk tot die volgende herverbinding, wanneer die hulp dit herskryf.

Gebruik die ondersteunde integrasie vir die verspreiding en laat een komponent die resolver-toestand besit. Twee eienaars skep dieselfde wedloop as twee eienaars van ’n koppelvlakadres, en die simptoom is ’n gasheer wat ná elke verandering ’n paar minute lank korrek oplos.

Interne name verdien hul eie kontrole. ’n Publieke resolver kan algemene blaai herstel terwyl elke korporatiewe naam misluk, wat die teenoorgestelde is van waarvoor die tonnel bedoel was. Vra die interne naam by die beoogde bediener voordat jy tot die slotsom kom dat DNS reg is.

Opruiming is net so belangrik soos opstel

Bring die koppelvlak af en ondersoek die resolver-toestand weer. ’n Hulp wat die vorige konfigurasie herstel, laat die gasheer bruikbaar; een wat sy eie bedieners agterlaat, skep die volgende fout, dikwels ure later wanneer die tonnel lankal weg is.

Verouderde toestand is maklik om raak te sien sodra jy daarvoor kyk. ’n Resolver-lys kan na ’n adres op ’n koppelvlak wys wat nie meer bestaan nie, en ’n soekdomein kan ’n netwerk oorleef wat jy vanoggend verlaat het. Elkeen laat die volgende verbinding onvoorspelbaar optree, en nie een verskyn in die tonnel se eie status-uitset nie. Die kontrole neem tien sekondes en spaar die volgende persoon ’n uur.

Hou die diagnose apart van die herstel. As elke bestemming misluk eerder as net naamopsoeke, is roetes en aanstuur die verdagtes en is die DNS-reël ’n afleiding. Die wg-quick-handleiding dokumenteer watter velde dit hanteer en watter aan die protokol behoort, en daardie grens is die hele antwoord op die meeste van hierdie verslae.