WireGuard: nema rute do partnera nakon promjene podmreže — dva izlaza

Rukovanje je svježe u wg show, krajnja tačka je ispravna, ključevi se nikad nisu promijenili — a ping i dalje kaže da nema rute do partnera. Promijenili ste podmrežu tunela prije sat vremena. Taj simptom je potpis neusklađenosti prefiksa, a ne problema s ključevima: WireGuard je završio rukovanje, a zatim odbacio podatke jer izvorišna adresa više ne odgovara onome što će prihvatiti partnerski čvor. Postoje dva razumna načina da se promjena podmreže sprovede i oni padaju na različitim mjestima.

Dva načina da sprovedete promjenu i koliko svaki košta

Opcija A je prenumeracija na licu mjesta: uredite adresu interfejsa, opsege partnera, rute i svaku kopiju konfiguracije, pa učitajte iznova. Opcija B je izgradnja drugog interfejsa na novom prefiksu pored starog, prebacivanje partnera i uklanjanje starog interfejsa tek kad saobraćaj zaista pređe.

Polovično primijenjeno stanje čini opciju A opasnom jer ne izgleda pokvareno. Interfejs se podiže, rukovanje uspijeva, a pada samo put podataka. Opcija B traži više rada, ali održava radni put živim dok tražite svaku referencu.

Šta se mora kretati zajedno na vašoj strani

Četiri stvari na lokalnom hostu opisuju istu podmrežu, a promjena jedne je promjena svih: adresa interfejsa, AllowedIPs svakog partnera, ruta koju sistem koristi za te odredišta i sve što upravljač instalira u vaše ime. Uz wg-quick posljednje dvije se generišu iz konfiguracije svaki put kad se interfejs podigne, pa zastarjela kopija tiho vraća stari prefiks.

Uporedite šta je konfigurisano sa onim što je živo, umjesto da vjerujete jednom od toga:

wg show
wg showconf wg0
ip addr show wg0
ip route get 10.90.0.5

Pretraga rute je korak koji ljudi preskaču. Ona odgovara šta bi kernel zaista uradio za odredište, uključujući specifičniju rutu koju je ostavio upravljač ili okruženje kontejnera. Ako pokaže drugi interfejs od tunela, konfiguracija nije problem.

Za interfejs koji radi, primijenite uređenu datoteku bez razbijanja tunela:

wg syncconf wg0 <(wg-quick strip wg0)

To ažurira partnere i opsege na licu mjesta. Ne ažurira adresu interfejsa ni rute, jer to nisu WireGuard postavke — zato prenumeracija i dalje traži ponovno stvaranje interfejsa ili promjenu adrese pomoću ip, a zatim ponovnu provjeru rutiranja.

Šta se mora kretati zajedno na udaljenoj strani

Ovdje promjena podmreže obično umire. AllowedIPs nije samo naznaka za rutiranje; to je i spisak izvorišnih adresa koje partner smije predstaviti. Kad prenumerišete klijente i ostavite AllowedIPs na serveru na starom prefiksu, server prihvati rukovanje, primi šifrovane pakete i odbaci ih jer se unutrašnje izvorište ne poklapa ni s jednim opsegom koji veže za tog partnera. Nikakva greška se ne bilježi, a klijent vidi istek vremena.

Zato ažurirajte prijemnu stranu svjesno: unos partnera na serveru mora navesti novi prefiks klijenta, vlastita povratna ruta servera mora za taj prefiks pokazivati na tunel, a svaka nizvodna mreža iza servera mora naučiti novi put. Vatrozidna pravila koja su imenovala stari opseg trebaju isti tretman, kao i sve što radi odabir prema izvorištu.

Dijagnostika koja razdvaja dva kvara je jeftina. Svježe rukovanje bez podataka znači da je tunel podignut i da se unutrašnje adresiranje ne slaže. Potpuno odsustvo rukovanja znači da gledate dostupnost ili ključeve. Ne mijenjajte ključeve zbog problema s prefiksom; time resetujete jedino što je radilo.

Zastarjele kopije koje nadžive vašu izmjenu

Uređivanje datoteke nije isto što i promjena sustava koji radi, a kopija je više nego što ljudi očekuju: unit ili upravljač koji posjeduje interfejs, drugi profil istog imena u drugom direktoriju, kontejner s konfiguracijom upečenom u sliku, sučelje rutera sa svojom uređenom verzijom i klijentska aplikacija koja pri pokretanju ponovo uvozi sačuvani tunel. Svaka od njih može vratiti stari prefiks nakon što vaša promjena izgleda završena.

I imena putuju. Ako numerička ruta radi, a ime hosta ne, interni DNS zapis ili konfiguracija usluge još pokazuje na staru adresu tunela. Ispravite referencu umjesto da širite svaki opseg partnera, jer bi to prekrilo stvarni problem i istovremeno povećalo ACL izvorišta.

Držite jedan put za oporavak otvorenim dok radite: drugi način ulaska na host, serijsku konzolu ili zakazano vraćanje konfiguracijskih datoteka. Promjena tunela koja vas zaključa izvan mašine koju mijenjate najčešći je način da se ovaj zadatak pretvori u večer.

Odabir između dva pristupa i provjera prebacivanja

Odaberite A kad posjedujete svakog partnera, broj je mali i kratki prekid je prihvatljiv. Odaberite B kad su partneri udaljene ruke koje ne kontrolišete, kad veza između lokacija mora ostati, ili kad ne možete garantovati da će svaka kopija biti ažurirana u jednom prolazu. U tom slučaju dodajte novi prefiks na oba interfejsa, prebacujte partnere jedan po jedan, gledajte saobraćaj na novom i tek onda uklonite stari interfejs i njegove rute.

U obje opcije promjena je gotova kad prođu četiri provjere: rukovanje je svježe, pretraga rute za odredište s novim prefiksom imenuje tunel, teret od nekoliko stotina bajtova prenosi se u oba smjera, i isto vrijedi nakon restarta hosta ili upravljača. Službeni wg(8) priručnik je referenca za to što AllowedIPs znači u svakom smjeru, i vrijedi ga ponovo pročitati prije nego proširite opseg da simptom nestane.

• Rukovanje svježe i nema podataka: pogledajte AllowedIPs na prijemniku prije nego dirate ključeve.
• Pretraga rute pokazuje pogrešan interfejs: rutom upravlja upravljač ili kontejner, ne vaša datoteka.
• Numerička adresa je u redu, ime hosta pokvareno: stara referenca, ne petlja rutiranja.
• Promjena je završena tek kad nakon restarta još uvijek koristi novi prefiks.