WireGuard AllowedIPs: NetworkManager-ın heç vaxt əlavə etmədiyi marşrut

Əl sıxışması sayğacı yenilənir, interfeys öz ünvanını saxlayır, qarşı tərəfə ping isə heç yerə çatmır. Bu birləşmə insanları çaşdırır, çünki işləyən əl sıxışması tunelin hazır olduğuna dair sübut kimi görünür. Elə deyil: tunel tam razılaşdırılmış ola bilər və yenə də ona trafik yönəldən marşrut olmaya bilər, bunlar isə iki ayrı vəziyyət parçasının yerinə yetirdiyi iki ayrı işdir. Düzəliş tamamilə bunlardan hansının çatışmadığından asılıdır, ona görə ilk addım bunu öyrənməkdir.

wg-quick hər ikisini xahiş olunmadan yerinə yetirir. NetworkManager-ın daxili WireGuard dəstəyi də standart olaraq peer marşrutlarını quraşdırır, bu da şübhəliləri söndürülmüş seçimə, fərqli marşrut cədvəlinə və ya başqa bir şey vasitəsilə idxal edilmiş konfiqurasiyaya daraldır.

Marşrutun arxasınca getməzdən əvvəl tuneli təsdiqləyin

wg show interfeysi, peer-i, son nöqtəni və ən son əl sıxışmasının yaşını çap edir, ip addr show isə ünvanın mövcud olduğunu təsdiqləyir. Yaxın vaxtda baş vermiş əl sıxışması açarların, son nöqtənin və UDP yolunun işlədiyini göstərir. Xarab olan hər şey onlardan aşağıda oturur: marşrutlaşdırma, filtrləmə və ya ad həlli.

Sonra nüvədən hipotetik deyil, real təyinatla nə edəcəyini soruşun: ip route get 10.42.7.9. Cavab çıxış interfeysini və paketin daşıyacağı mənbə ünvanını göstərir. Fiziki adapteri göstərdikdə isə paket heç vaxt tunelə daxil olmur, əl sıxışması nə qədər sağlam görünsə də.

AllowedIPs həm filtrdir, həm marşrut siyahısıdır

AllowedIPs-dəki prefikslər iki iş görür. Onlar hansı peer-in çıxış təyinatını daşıyacağını seçir və gələn paketlərin mənbə ünvanını yoxlayır, bu da cryptokey marşrutlaşdırma sərhədidir. wg-quick-də onlar həm də avtomatik marşrut quraşdırılmasını idarə edir və bu əlavə davranış eyni konfiqurasiyanın terminaldan işləyib masaüstü müştəridən işləməməsinin səbəbidir.

Bu məqalənin arxasındakı halda profil daxili dəstək vasitəsilə deyil, üçüncü tərəf plaqini vasitəsilə idxal edilmişdi və interfeys prefiks marşrutu olmadan qalxmışdı. Cədvəli sadalamaq bunu dərhal göstərir: ip route show yalnız interfeys ünvanı üçün qoşulmuş marşrutu ehtiva edir, uzaq diapazon üçün heç nə yoxdur.

Peer marşrutlarının ümumiyyətlə aktiv olub-olmadığını soruşun

Heç nəyi dəyişməzdən əvvəl parametri oxuyun: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. peer-routes no oxuyanda dəstəklənən düzəliş nmcli connection modify work-wg wireguard.peer-routes yes, ardınca yenidən qoşulmadır. Əvəzində statik marşrut əlavə etmək növbəti aktivləşdirməyə qədər işləyir və sonra səssizcə yox olur. Bu yox olma əlamətdir: hər səhər sirr kimi qayıdan marşrutu profil quraşdırmır.

Seçim artıq aktivdirsə, prefiksin başqa cədvəldə olub-olmadığını ip route show table all | grep 10 ilə yoxlayın. Əsas olmayan cədvəldəki marşrut itmiş deyil, o, yalnız əsas cədvələ baxan axtarış üçün görünməzdir. Üstünə dublikat giriş yığmaq əvəzinə siyasət marşrutlaşdırmasını düzəldin.

Prefiksi işləyən sistemə deyil, bağlantıya əlavə edin

Bağlantı redaktorunda WireGuard səhifəsi peer-i və onun AllowedIPs-ini, IPv4 səhifəsi isə əlavə marşrutları saxlayır. Orada əlavə edilmiş marşrut yenidən qoşulmalardan sonra da qalır, çünki profilə aiddir. Əmr sətrində ekvivalent boş şlüz forması ilə bağlantıya marşrut əlavə etmək, sonra dəyişikliyin tətbiq olunması üçün bağlantını aşağı və yuxarı çevirməkdir.

Lazım olan hostları əhatə edən ən dar prefiksi seçin. Provayderin nümunə /8-ini kopyalamaq ora təsadüfən düşən yerli diapazonları uda bilər və yaranan nasazlıqlar həddindən artıq geniş marşrut kimi deyil, xarab tunel kimi görünür.

Split tunnelləşdirməni prefiks siyahısı həll edir

Split tunel üçün açar yoxdur; qərarı prefiks siyahısı verir. Ofis LAN-ı üçün bir, laboratoriya şəbəkəsi üçün bir diapazonu olan peer məhz həmin təyinatları tuneldən göndərir və qalan hər şeyə toxunmur. Tək host üçün /32 lazımdır, iki sahədə üst-üstə düşən diapazonlar isə kimsə alt şəbəkəni yenidən nömrələyənə qədər host prefiksləri tələb edir.

Tuneldən heç nə göndərməməyi seçmək eyni qərarı öz həddinə aparır: minimal siyahı keçidi açıq saxlayır, adi trafik isə öz adi yolunu tutur. Niyyəti yazın, əks halda növbəti oxucu qısa siyahını səhv kimi qəbul edib onu yaxşılıq məqsədi ilə genişləndirəcək.

Marşrut cədvəli üçün bir sahib

wg-quick və NetworkManager hər ikisi interfeysin marşrutlarına sahib olduqlarına inanır. wg-quick üçün yazılmış konfiqurasiyanı idxal edin və sonra həm də wg-quick xidmətini başladın, o zaman davranışı hansının son işləməsindən asılı olan təkrarlanan və ya ziddiyyətli girişlər alırsınız. Bir sahib seçin və digərini silin: NetworkManager bağlantını idarə edirsə, həmin interfeys üçün wg-quick vahidini söndürün və eyni cihaz üçün heç vaxt ikinci profil əlavə etməyin.

Bölgü təyinatı deyil, fiziki adapteri izləməli olduqda siyasət marşrutlaşdırmasına keçmisiniz və siyasət marşrutlaşdırması da tək müəllif tələb edir. ip route get əmrini təkrarlayaraq, sonra seçdiyi mənbə ünvanını çap edən bir şeylə uzaq prefiks daxilində hosta çataraq yoxlayın. Profil hər hansı birini daşıyırsa, IPv6 və DNS-i ayrıca yoxlayın.