نظير WireGuard يخرج عبر WAN الخاطئة: خمسة فحوص بالترتيب

رابطان علويان، وبوابة واحدة، ونظير WireGuard يستمر مروره في الظهور على الخط الاحتياطي. تبقى المصافحة سليمة طوال الوقت. لهذا السبب يسهل قراءة العرَض خطأً كخلل في WireGuard بدلًا من كونه خلل توجيه.

اعمل على الفحوص أدناه بالترتيب. لكل فحص شرط توقف، وتجاوزه عادةً ينتج إجابة خاطئة واثقة.

افصل المصافحة عن التدفق المُمرَّر

تبادل النظير المشفَّر له مسار نقطة نهاية إلى العنوان العام للخادم. أما حركة العميل المُمرَّرة فلها وجهة مختلفة وقد تُختار بواسطة العلامات أو قواعد السياسة. هما قراران للتوجيه يشتركان في واجهة واحدة. التعامل مع أحدهما كدليل على الآخر هو الخطأ الأول.

توقف بمجرد أن تجد نفسك تستنتج من المصافحة. فهي دليل على مسار نقطة النهاية فقط.

اقرأ قاعدة السياسة، لا الجدول الافتراضي

الجدول الافتراضي يبيّن ما يحدث عندما لا تطابق أي قاعدة سياسة. على بوابة توجّه حسب المصدر أو العلامة أو الوجهة، تعيش القاعدة الحاسمة في مكان آخر. قد يبدو الجدول العادي معقولًا تمامًا بينما يُتخذ الخيار الحقيقي فوقه.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

اقرأ قواعد السياسة والجداول التي تشير إليها. ثم تأكد من القاعدة التي تطابق تدفق الاختبار لديك. القاعدة التي تشير إلى واجهة لم تعد تحمل الرابط العلوي المقصود هي نتيجة، وليست تفصيلًا. البحث عن المسار في النهاية يعرض الإجابة أسرع بكثير من قراءة جدول والتخمين.

افحص العلامة والترجمة معًا

توجيه السياسة يعتمد على علامة حزمة تُضبط في وقت سابق داخل السلسلة. إذا فوّتت قاعدة وضع العلامات حركتك، فسيسقط التدفق إلى الجدول الرئيسي ويخرج عبر أي افتراضي موجود هناك. غالبًا ما تتخطى الحزم المُمرَّرة سلاسل كُتبت لحركة تُنشأ محليًا.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

يجب أن توافق الترجمة الرابط العلوي الذي يحمل التدفق. القاعدة التي تترجم إلى العنوان الأساسي بينما تخرج الحزمة عبر الخط الاحتياطي تنتج ردودًا موجهة إلى واجهة لم يستخدمها التدفق قط. افحص شرط الواجهة الخاص بقاعدة الترجمة. القاعدة غير المشروطة تعمل حتى يُستخدم الرابط العلوي الثاني، ثم تفشل بطريقة تبدو متقطعة.

راقب أي واجهة تحمل الرد

التقط على كلا الرابطين العلويين أثناء تنفيذ طلب واحد. لاحظ أي واجهة تحمل الطلب وأيها تحمل الرد. المسارات غير المتماثلة أسهل بكثير في الرؤية من التنبؤ.

إذا وصل الرد عبر الرابط العلوي الخطأ، فقد انتقلت المشكلة من WireGuard إلى تتبع الاتصالات أو الترجمة. لن يصلح أي تغيير في إعداد النظير ذلك.

غيّر شيئًا واحدًا مع طريق للعودة

احتفظ بوصول الطرفية أو وصول خارج النطاق قبل تعديل قواعد السياسة على بوابة. أجرِ تغييرًا واحدًا، واختبر الوجهة المصرح بها نفسها، ثم أعد الاتصال وتأكد من أن المصافحة ما زالت تستخدم مسار نقطة النهاية المقصود. أضف اختبارًا رقميًا على عائلة العناوين الثانية، لأن سياسة تقتصر على v4 تترك الخطأ نفسه متاحًا.

سجّل أي رابط علوي استخدمه كل تدفق. هذا السجل يحوّل التقرير التالي إلى فحص من دقيقتين بدلًا من بعد ظهر كامل. ملاحظات WireGuard حول النطاقات والتوجيه تشرح كيفية فصل مسار نقطة النهاية عن الحركة المُمرَّرة عبر النفق عمدًا، وهو أنظف عادةً من نسخ حل بديل لمسار افتراضي.