WireGuard-standaardroete-lus: vind die eindpuntpad

Die koppelvlak kom op, die eweknie-konfigurasie lyk reg, en geen handdruk voltooi ooit nie. Om 'n standaardroete deur die tonnel by te voeg, is die stap wat dit dikwels veroorsaak: dieselfde roetetabel besluit nou waar die tonnel se eie versleutelde pakkette heen moet gaan, en die antwoord wat dit oplewer, is terug in die tonnel in. Niks kan die buitenste pakket dra wat die binneste sou dra nie, so die verbinding stop voordat dit begin. Die herstel is klein, maar dit het 'n volgorde, en die verifikasie is belangriker as die wysiging.

Bevestig die lus voordat jy 'n roete verander

Lees die eweknie se huidige eindpuntadres en vra dan die roetestapel waar 'n pakket na daardie adres heen sou gaan. As die antwoord die tonnelkoppelvlak noem, is die lus bevestig en is geen verdere diagnose nodig nie. Stoor albei uitsette in die veranderingsrekord voordat jy iets aanraak, want die vergelyking ná die herstel is dieselfde twee opdragte. 'n Lus is nie subtiel sodra dit gesien word nie; die moeilikheid is dat die koppelvlak gesond lyk terwyl dit gebeur.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Sluit die beleidsreëls by daardie vaslegging in. 'n Standaardroete wat in die hoof-tabel korrek lyk, kan steeds verloor teen 'n reël wat 'n ander tabel vir gemerkte of ongemerkte verkeer kies, en die lus sal weer verskyn met 'n roetetabel wat fyn lyk.

Lees die eindpuntpad, nie die tonnelpad nie

Die eindpuntpad is die roete wat die versleutelde datagramme na die eweknie se openbare adres neem, en dit moet buite die tonnel bly solank die tonnel bestaan. Die tonnelpad is alles wat die eweknie mag dra. Daardie twee paaie deel 'n roetetabel, en dit is juis waarom 'n enkele allesomvattende inskrywing hulle in mekaar kan laat inmekaar val. Om die tonnelverkeer en die tonnel se eie vervoer uitmekaar te sny, is die hele ontwerpprobleem, en elke ondersteunde hulpmiddel los dit iewers effens anders op.

Kontroleer albei adresfamilies afsonderlik as die koppelvlak albei dra. 'n Werkende IPv4-uitsluiting sê niks oor of die IPv6-eindpunt nog bereikbaar is nie, en 'n gemengde konfigurasie kan werk lyk totdat die eweknie se IPv6-adres gekies word.

Herstel die eindpuntpad met een samehangende verandering

Twee ondersteunde benaderings bestaan, en om hulle te meng is hoe 'n werkende opstelling onvoorspelbaar word. Die eerste is om die hulpmiddel wat die koppelvlak besit die volle tonnel te laat hanteer: wg-quick het toegewyde hantering vir 'n standaard eweknie-reeks wat 'n aparte tabel, beleidsreëls en 'n sokmerk installeer, wat die buitenste pakkette uit die tonnel hou. Laat daardie masjinerie ongeskonde eerder as om die helfte daarvan met die hand na te maak. 'n Opstelling wat 'n handmatig bygevoegde standaard meng met 'n bestuurder wat reeds merke en reëls installeer, is geneig om ná herverbinding te misluk, wanneer die bestuurder toestand herskryf wat die handmatige stap veronderstel het.

Die tweede is 'n handmatige ontwerp waarin die eindpunt 'n eksplisiete gasheerroete deur die fisiese poort kry. Voeg daardie roete voor die standaard by, vervang eerder as om by te voeg sodat 'n verouderde inskrywing nie kan wen nie, en bevestig die opsoek daarna.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Verifieer, en hou dan 'n weg terug

'n Handdruk-tydstempel wat vorder, is die eerste bewys, en dit is sterker as 'n koppelvlak wat bloot bestaan. Volg dit met 'n toepassingstoets deur die tonnel, bring dan die koppelvlak doelbewus af en bevestig dat die gasheer na 'n bruikbare toestand terugkeer eerder as om 'n standaardroete te hou wat na niks wys. Daardie laaste stap is die een wat mense oorslaan, en dit is die een wat besluit of 'n herbegin die masjien sal laat vaar.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Voor enige van dit, stoor die huidige roetetoestand en maak seker daar is 'n ingang wat nie van die tonnel afhang nie: 'n konsole, 'n buiteband-bestuursadres of 'n kollega op die terrein. 'n Afgeleë masjien wat sy standaardroete verloor, is nie oor die verbinding wat dit pas verloor het herstelbaar nie, en die veiligste runbook-stap is die een wat voor die eerste opdrag geneem word.