Com iniciar un túnel WireGuard com a servei systemd

Teniu un perfil de WireGuard a /etc/wireguard/wg0.conf i el voleu engegat sense escriure wg-quick up a mà després de cada reinici. La plantilla systemd del paquet fa exactament això: [email protected] executa wg-quick per al perfil anomenat wg0. També instal·la adreces, rutes, DNS i els ganxos que declara el perfil, cosa que és més que carregar una clau al nucli. Comproveu que la plantilla existeixi al vostre sistema abans de donar per fet que hi és.

La resta d’aquest recorregut segueix l’ordre en què ho faríeu realment.

Trobeu la unitat i el perfil que llegeix

Llisteu els fitxers d’unitat amb systemctl list-unit-files 'wg-quick*'. A les distribucions que ho empaqueten veureu [email protected], amb el nom d’instància pres del perfil. La instància es resol a /etc/wireguard/<name>.conf, de manera que wg-quick@wg0 llegeix wg0.conf i res més. Si la llista és buida, el paquet d’eines no està instal·lat i cap activació no ajudarà.

Mantingueu el perfil en mode 600 i propietat de root. Conté una clau privada, i la unitat s’executarà de bon grat amb pitjors permisos si ho permeteu.

Poseu-lo en marxa i llegiu el registre

Inicieu la instància amb systemctl start wg-quick@wg0, després comproveu systemctl status wg-quick@wg0 i journalctl -u wg-quick@wg0 -b. Una unitat que arrenca i surt de seguida sol tenir un error de perfil, i el registre nomena la línia. Confirmeu amb wg show que la interfície existeix i que l’últim handshake és recent. El manual de wg-quick llista què fa l’script més enllà de la interfície mateixa.

Una interfície configurada sense handshake és un problema de ruta o de clau, no de servei.

Manteniu un sol gestor

Si NetworkManager o un altre client ja posseeix el túnel, iniciar la unitat systemd crea un segon propietari per a la mateixa interfície, rutes i DNS. Els símptomes són confusos: el túnel puja, després les rutes desapareixen, o el DNS torna enrere al cap d’uns segons. Trieu un gestor i desactiveu l’altre per a aquest perfil. El registre mostra normalment la presa de control com a canvis de ruta o de resolutor just després que la unitat informi d’èxit.

Dos gestors no comparteixen la propietat. S’escriuen l’un sobre l’altre.

Proveu aturada, reinici i arrencada

Executeu systemctl stop wg-quick@wg0 i confirmeu que la interfície ha desaparegut i que les rutes s’han eliminat. Després torneu-lo a engegar i comproveu que les rutes tornen, perquè els errors de desmuntatge es manifesten com a rutes sobrants i no com a arrencades fallides. Finalment activeu-lo a l’arrencada amb systemctl enable --now wg-quick@wg0 i reinicieu un cop.

A l’arrencada el nom del punt final s’ha de resoldre abans que la unitat s’executi. Si el DNS encara no està actiu, la unitat falla i continua fallida fins que l’engegueu a mà.

Deixeu constància del propietari

Anoteu quin perfil llegeix la unitat, quin gestor posseeix la interfície i d’on ha vingut el fitxer. Quan algú importi més tard el mateix túnel en un client d’escriptori, aquesta nota és la diferència entre una migració i dos desplegaments que es barallen per una adreça. Anoteu també el nom de la interfície, perquè dos perfils amb noms semblants són la font habitual de confusió.

Un túnel amb dos propietaris funciona fins al primer reinici, i després és un misteri. Per això la nota pertany al repositori i no a un fil de xat.