WireGuard AllowedIPs: trasa, kterou NetworkManager nikdy nepřidal

Počítadlo handshake se aktualizuje, rozhraní si drží svou adresu a ping na druhou stranu nikam nedorazí. Tahle kombinace lidi mate, protože funkční handshake vypadá jako důkaz, že tunel je připravený. Není: tunel může být plně vyjednaný a přesto nemít žádnou trasu, která by do něj vedla provoz, a to jsou dva oddělené úkoly, které plní dva oddělené kusy stavu. Oprava závisí zcela na tom, která z těch dvou věcí chybí, takže prvním krokem je to zjistit.

wg-quick dělá obojí, aniž by ho o to někdo žádal. Vestavěná podpora WireGuard v NetworkManageru navíc ve výchozím nastavení instaluje trasy k peerům, což zužuje podezřelé na vypnutou volbu, jinou směrovací tabulku nebo konfiguraci importovanou přes něco jiného.

Potvrďte tunel, než se pustíte za trasou

wg show vypíše rozhraní, peera, koncový bod a stáří posledního handshake a ip addr show potvrdí, že adresa je přítomná. Nedávný handshake znamená, že klíče, koncový bod a cesta UDP fungují. Všechno rozbité sedí po proudu od nich: směrování, filtrování nebo překlad jmen.

Pak se jádra zeptejte, co by udělalo se skutečným cílem místo hypotetickým: ip route get 10.42.7.9. Odpověď pojmenuje odchozí rozhraní a zdrojovou adresu, kterou by paket nesl. Když pojmenuje fyzický adaptér, paket do tunelu nikdy nevstoupí, ať handshake vypadá jakkoli zdravě.

AllowedIPs je filtr i seznam tras

Prefixy v AllowedIPs dělají dvě věci. Vybírají, který peer ponese odchozí cíl, a ověřují zdrojovou adresu příchozích paketů, což je hranice směrování podle kryptoklíče. Ve wg-quick navíc řídí automatickou instalaci tras, a právě toto chování navíc je důvod, proč stejná konfigurace funguje z terminálu a ne z klientské aplikace na ploše.

V případu, který stojí za tímto článkem, byl profil importován přes zásuvný modul třetí strany, nikoli přes vestavěnou podporu, a rozhraní naskočilo bez prefixové trasy. Výpis tabulky to ukáže okamžitě: ip route show obsahuje jen připojenou trasu pro adresu rozhraní a nic pro vzdálený rozsah.

Zeptejte se, zda jsou trasy k peerům vůbec zapnuté

Přečtěte nastavení dřív, než cokoli změníte: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Když peer-routes ukazuje no, podporovaná oprava je nmcli connection modify work-wg wireguard.peer-routes yes, po níž následuje opětovné připojení. Přidání statické trasy místo toho funguje do příští aktivace a pak tiše zmizí. To zmizení je ta stopa: trasu, která se každé ráno vrací jako záhada, neinstaluje profil.

Je-li volba už zapnutá, zkontrolujte, zda prefix nežije v jiné tabulce, pomocí ip route show table all | grep 10. Trasa v jiné než hlavní tabulce nechybí, je jen neviditelná pro vyhledání, které se dívá pouze do hlavní tabulky. Opravte politické směrování, místo abyste navrch navalili duplicitní záznam.

Přidejte prefix ke spojení, ne do běžícího systému

V editoru spojení drží stránka WireGuard peera a jeho AllowedIPs a stránka IPv4 další trasy. Trasa tam přidaná přežije opětovná připojení, protože patří profilu. Na příkazovém řádku je ekvivalentem přidat trasu ke spojení ve formě s prázdnou branou a pak spojení sundat a zvednout, aby se změna uplatnila.

Vyberte nejužší prefix, který pokrývá hostitele, které potřebujete. Zkopírování příkladu /8 od poskytovatele může spolknout místní rozsahy, které v něm náhodou leží, a výsledné poruchy vypadají jako rozbitý tunel, ne jako příliš široká trasa.

O rozděleném tunelování rozhoduje seznam prefixů

Přepínač rozděleného tunelu neexistuje; rozhodnutím je seznam prefixů. Peer s jedním rozsahem pro kancelářskou LAN a jedním pro laboratorní síť posílá přesně tyto cíle tunelem a všechno ostatní nechává být. Jednotlivý hostitel potřebuje /32 a překrývající se rozsahy na dvou místech potřebují prefixy hostitelů, dokud někdo nepřečísluje podsíť.

Volba neposílat tunelem nic dotahuje stejné rozhodnutí do krajnosti: minimální seznam nechá spojení nahoře, zatímco běžný provoz jde svou obvyklou cestou. Zapište ten záměr, protože jinak další čtenář bude krátký seznam považovat za opomenutí a ochotně ho rozšíří.

Jeden vlastník směrovací tabulky

wg-quick i NetworkManager věří, že vlastní trasy rozhraní. Importujte konfiguraci psanou pro wg-quick a pak ještě spusťte službu wg-quick a dostanete duplikované nebo konfliktní záznamy, jejichž chování závisí na tom, který běžel naposledy. Vyberte jednoho vlastníka a druhého odstraňte: pokud spojení spravuje NetworkManager, vypněte jednotku wg-quick pro toto rozhraní a nikdy nepřidávejte druhý profil pro stejné zařízení.

Když rozdělení musí sledovat fyzický adaptér místo cíle, přesunuli jste se do politického směrování a politické směrování také potřebuje jednoho autora. Ověřte to zopakováním ip route get a pak dosažením hostitele uvnitř vzdáleného prefixu něčím, co vypíše zvolenou zdrojovou adresu. Pokud profil nese jedno i druhé, zkontrolujte IPv6 a DNS odděleně.