NetworkManager nebo wg-quick: komu patří vaše trasy WireGuard?

Změníte AllowedIPs v souboru WireGuard, restartujete tunel a směrovací tabulka vypadá přesně jako předtím. Obvyklá reakce je smazat problematickou trasu a jít dál, což funguje, dokud ji další připojení nevrátí. Soubor, který jste upravili, nemusí být objekt, který vytvořil stav, na který se díváte. Dva správci mohou na jednom počítači provozovat stejný protokol a rozhraní v každém okamžiku vlastní jen jeden z nich.

Mýtus: na počítači je jediná konfigurace WireGuard

wg-quick čte soubor v /etc/wireguard/ a vytvoří rozhraní, když ho zvednete. NetworkManager ukládá profil připojení ve vlastním formátu keyfile a vykresluje ho při aktivaci, a import souboru wg-quick zkopíruje hodnoty do tohoto profilu, místo aby na něj odkazoval. Úprava originálu potom nic nezmění, protože profil ho už nečte. Stejný seznam protějšků a klíčů tak může existovat dvakrát, přičemž platí druhá kopie.

Příznak, který stojí za zapamatování: úpravy, které přežijí restart, ale ne opětovný import, pocházejí z jednoho úložiště, a úpravy, které při restartu zmizí, pocházejí z druhého.

Jeden praktický příklad rozdělení objasní. Porovnejte nmcli connection show s systemctl status wg-quick@wg0, pak zkontrolujte, na kterém rozhraní trasy skutečně visí. Pokud je služba mrtvá a rozhraní nahoře, práci dělá profil, ať soubor říká cokoli.

Mýtus: směrovací pravidla jsou součástí WireGuardu

Zařízení WireGuard v jádře zná protějšky a klíče a o politickém směrování neví nic. Jakékoli ip rule záznamy a další tabulky, které vidíte, nainstaloval nástroj, který rozhraní zvedl. wg-quick může přidat fwmark a vyhrazenou tabulku plus pravidla, která na ni ukazují, zatímco NetworkManager instaluje trasy přes vlastní nastavení ipv4 a DNS nechává na tom resolver backendu, který systém používá. Stejný tunel, jiné vedlejší účinky.

Přečtěte si ip rule a ip route show table all než cokoli změníte a poznamenejte si, v které tabulce každá trasa žije. Číslo tabulky, které jste nenastavili, je silná nápověda o nástroji, který ji vytvořil.

Mýtus: smazání trasy je oprava

Trasa smazaná za běhu je trasa, kterou vlastník při příští aktivaci znovu nainstaluje, a aktivace může proběhnout bez vás: probuzení notebooku, zakolísání spoje, restart služby nebo automatické připojení NetworkManageru. Proto se stejná trasa vrací a proto se obchvat zdá nespolehlivý, nikoli špatný. Nejprve určete správce, pak změňte vstup, který tento správce skutečně čte.

Opětovné připojení a restart příslušné služby je test, který oddělí skutečnou opravu od té, která jen vypadá uklizeně.

Vyberte jednoho vlastníka a druhého odstraňte

Vyberte správce, který vaše nasazení podporuje, a pak konkurenční aktivaci vypněte jejím dokumentovaným ovládáním, místo abyste doufali, že zůstane nečinná. Maskovaná služba wg-quick nebo smazaný profil NetworkManageru je explicitní; nechat obojí zapnuté a nechat je závodit není. Před vypnutím čehokoli zachovejte funkční přístup, protože rozhraní, které nese vaši vzdálenou relaci, může být to, které se chystáte odstranit.

Po změně ověřte zahrnutý a vyloučený provoz, potom DNS a potom jednou restartujte. Pokud stav přežije restart s jediným správcem, máte vlastníka místo náhody.

Obecné pravidlo stojí za to si pamatovat i mimo WireGuard: když se nějaké nastavení pořád vrací, přestaňte mazat výsledek a najděte proces, který ho neustále vytváří.