wg-quick trenca el DNS en connectar: llegiu l’error de configuració

El túnel s’aixeca, l’apretada de mans es completa i la resolució de noms s’atura. Res de la configuració d’igual no ha canviat, perquè la línia DNS mai no va formar part de la configuració d’igual. Pertany a l’ajudant de configuració, cosa que vol dir que la fallada viu en les eines del resolutor de l’amfitrió i no en les claus de WireGuard.

Llegiu el primer missatge que va imprimir l’ajudant, no l’últim, i la diferència entre una utilitat absent i un servidor inabastable es fa evident.

La línia DNS és una funció de l’ajudant

Els camps bàsics de configuració descriuen iguals, claus i adreces permeses. La resolució s’afegeix a sobre per l’script que aixeca la interfície, i cada implementació ho fa de manera diferent. Un client d’escriptori pot gestionar el DNS amb el seu propi servei, un script de distribució pot cridar una de diverses utilitats de resolutor, i un contenidor pot no fer cap de les dues. El fitxer de configuració no us pot dir quin d’aquests camins està en joc.

Per això un fitxer de configuració pot ser vàlid per al protocol i tot i així fallar durant la configuració: la fallada pertany a un ganxo que el protocol no veu mai.

Escriure un camp estès en una configuració bàsica i esperar que l’eina del protocol l’accepti produeix la mateixa confusió des de la direcció oposada. Els dos analitzadors llegeixen fitxers diferents.

Saber quin dels dos s’executa és el primer pas de diagnòstic, i normalment és visible en l’ordre que heu escrit, no en el fitxer de configuració.

Llegiu el primer error que imprimeix l’ajudant

Pugeu la interfície en primer pla i llegiu la sortida per ordre. Una utilitat de resolutor absent, un ganxo fallit i un servidor inabastable aturen la mateixa ordre en punts diferents, i cadascun té una reparació diferent.

wg-quick up wg0
resolvectl status wg0
ip route get 10.66.0.1

La primera ordre informa del progrés de la configuració, la segona mostra quins servidors reclama ara la interfície, i la tercera mostra si l’adreça del resolutor és realment abastable a través del túnel. Un resolutor configurat però no encaminable produeix temps d’espera en lloc d’errors de configuració, i per això les dues comprovacions van juntes. Llegir només la sortida d’estat produeix una conclusió segura i errònia.

Si la configuració s’ha completat i la resolució de noms encara falla, compareu el resolutor que l’ajudant ha instal·lat amb el que la xarxa feia servir abans. Un resolutor privat necessita una ruta a través del túnel, i una configuració que el llista sense cobrir el seu prefix deixa cada consulta esperant.

Quin resolutor té realment l’amfitrió

Els amfitrions Linux moderns sovint executen un resolutor stub local, així que l’adreça que instal·la l’ajudant la consumeix aquest stub i no les aplicacions directament. Editar a mà un fitxer generat pot semblar que funciona fins a la propera reconnexió, quan l’ajudant el reescriu.

Utilitzeu la integració admesa per a la distribució i deixeu que un sol component posseeixi l’estat del resolutor. Dos propietaris produeixen la mateixa cursa que dos propietaris d’una adreça d’interfície, i el símptoma és un amfitrió que resol correctament durant uns minuts després de cada canvi.

Els noms interns mereixen la seva pròpia comprovació. Un resolutor públic pot restaurar la navegació general mentre fa fallar tots els noms corporatius, que és el contrari del que el túnel havia de fer. Consulteu el nom intern al servidor previst abans de concloure que el DNS està arreglat.

La neteja importa tant com la configuració

Baixeu la interfície i torneu a inspeccionar l’estat del resolutor. Un ajudant que restaura la configuració anterior deixa l’amfitrió utilitzable; un que deixa els seus propis servidors enrere crea la propera fallada, sovint hores més tard, quan el túnel fa temps que no hi és.

L’estat obsolet és fàcil d’engegar quan el busques. Una llista de resolutors pot apuntar a una adreça d’una interfície que ja no existeix, i un domini de cerca pot sobreviure a una xarxa que vau deixar aquest matí. Qualsevol de les dues fa que la propera connexió es comporti de manera impredictible, i cap de les dues no apareix a la sortida d’estat del túnel. La comprovació triga deu segons i estalvia una hora a la propera persona.

Manteniu el diagnòstic separat de la reparació. Si falla tota destinació, no només la consulta de noms, les rutes i el reenviament són els sospitosos i la línia DNS és una distracció. El manual de wg-quick documenta quins camps gestiona i quins pertanyen al protocol, i aquesta frontera és tota la resposta a la majoria d’aquests informes.