wg-quick ламае DNS пры падключэнні: чытайце памылку наладкі

Тунэль падымаецца, рукапацісканне завяршаецца, і разбор імён спыняецца. У канфігурацыі аднарангавага вузла нічога не змянілася, бо радок DNS ніколі не быў часткай гэтай канфігурацыі. Ён належыць дапаможніку наладкі, а значыць, збой жыве ў інструментах рэзалвера на хасту, а не ў ключах WireGuard.

Прачытайце першае паведамленне, якое выдаў дапаможнік, а не апошняе, і розніца паміж адсутнай утылітай і недасяжным серверам стане відавочнай.

Радок DNS — функцыя дапаможніка

Асноўныя палі канфігурацыі апісваюць аднарангавыя вузлы, ключы і дазволеныя адрасы. Разбор імён дадаецца зверху тым скрыптам, які падымае інтэрфейс, і кожная рэалізацыя робіць гэта па-свойму. Настольны кліент можа кіраваць DNS праз уласную службу, скрыпт дыстрыбутыва можа выклікаць адну з некалькіх утыліт рэзалвера, а кантэйнер можа не рабіць ні таго, ні іншага. Канфігурацыйны файл не можа сказаць, які з гэтых шляхоў задзейнічаны.

Таму канфігурацыйны файл можа быць слушным для пратаколу і ўсё ж збаіць падчас наладкі: збой належыць кручку, якога пратакол ніколі не бачыць.

Запіс пашыранага поля ў асноўную канфігурацыю і спадзяванне, што інструмент пратаколу яго прыме, стварае тое ж непаразуменне з іншага боку. Два парсеры чытаюць розныя файлы.

Ведаць, які з іх працуе, — першы дыягнастычны крок, і звычайна гэта бачна ў камандзе, якую вы набралі, а не ў канфігурацыйным файле.

Прачытайце першую памылку, якую друкуе дапаможнік

Падніміце інтэрфейс на пярэднім плане і чытайце вывад па парадку. Адсутная ўтыліта рэзалвера, няўдалы кручок і недасяжны сервер спыняюць адну і тую ж каманду ў розных месцах, і кожны мае іншае выпраўленне.

wg-quick up wg0
resolvectl status wg0
ip route get 10.66.0.1

Першая каманда паведамляе пра ход наладкі, другая паказвае, якія серверы інтэрфейс цяпер заяўляе, а трэцяя — ці сапраўды дасяжны адрас рэзалвера праз тунэль. Рэзалвер, які наладжаны, але не маршрутызуецца, дае тайм-аўты замест памылак канфігурацыі, таму дзве праверкі належаць разам. Чытанне толькі вываду стану дае ўпэўненую і памылковую выснову.

Калі наладка завяршылася, а разбор імён усё яшчэ збаіць, параўнайце рэзалвер, які ўсталяваў дапаможнік, з тым, які сетка выкарыстоўвала раней. Прыватны рэзалвер патрабуе маршруту праз тунэль, а канфігурацыя, якая пералічвае яго без пакрыцця яго прэфікса, пакідае кожны запыт у чаканні.

Які рэзалвер насамрэч мае хост

Сучасныя хасты Linux часта запускаюць лакальны заглушаны рэзалвер, таму адрас, які ўсталёўвае дапаможнік, спажываецца гэтай заглушкай, а не праграмамі напрамую. Рэдагаванне згенераванага файла ўручную можа выглядаць працоўным да наступнага перападключэння, калі дапаможнік перапісвае яго.

Выкарыстоўвайце падтрыманую інтэграцыю для дыстрыбутыва і дазвольце аднаму кампаненту валодаць станам рэзалвера. Два ўладальнікі ствараюць тую ж гонку, што і два ўладальнікі адраса інтэрфейса, а сімптом — хост, які правільна разбірае імёны некалькі хвілін пасля кожнай змены.

Унутраныя імёны заслугоўваюць асобнай праверкі. Публічны рэзалвер можа аднавіць звычайнае агляданне, робячы няўдалым кожнае карпаратыўнае імя, што супрацьлегла таму, дзеля чаго быў тунэль. Запытайце ўнутранае імя ў прызначанага сервера, перш чым рабіць выснову, што DNS выпраўлены.

Ачыстка не менш важная за наладку

Апусціце інтэрфейс і зноў агледзьце стан рэзалвера. Дапаможнік, які вяртае папярэднюю канфігурацыю, пакідае хост прыдатным; той, што пакідае ўласныя серверы, стварае наступны збой, часта праз гадзіны, калі тунэль даўно знік.

Састарэлы стан лёгка заўважыць, калі пачаць яго шукаць. Спіс рэзалвераў можа паказваць на адрас на інтэрфейсе, якога ўжо няма, а пошукавы дамен можа перажыць сетку, якую вы пакінулі сёння раніцай. Любое з гэтага робіць наступнае злучэнне непрадказальным, і ні тое, ні іншае не з’яўляецца ў ўласным вывадзе стану тунэля. Праверка займае дзесяць секунд і зэканоміць наступнаму чалавеку гадзіну.

Трымайце дыягностыку асобна ад рамонту. Калі збаіць кожны пункт прызначэння, а не толькі пошук імён, падазронымі з’яўляюцца маршруты і перанакіраванне, а радок DNS — адцягненне. Кіраўніцтва wg-quick дакументуе, якія палі яно апрацоўвае і якія належаць пратаколу, і гэтая мяжа — увесь адказ на большасць такіх паведамленняў.