WireGuard AllowedIPs: y llwybr na wnaeth NetworkManager erioed ei ychwanegu

Mae’r cyfrifydd ysgwyd llaw yn diweddaru, mae’r rhyngwyneb yn cadw ei gyfeiriad, ac mae ping i’r ochr arall yn mynd i unman. Mae’r cyfuniad hwnnw’n drysu pobl oherwydd bod ysgwyd llaw sy’n gweithio’n teimlo fel prawf bod y twnnel yn barod. Nid yw: gall twnnel fod wedi’i drafod yn llawn ac eto heb unrhyw lwybr sy’n anfon traffig iddo, a dau dasg ar wahân yw’r rheini sy’n cael eu cyflawni gan ddau ddarn ar wahân o gyflwr. Mae’r atgyweiriad yn dibynnu’n gyfan gwbl ar ba un o’r ddau sydd ar goll, felly’r cam cyntaf yw darganfod hynny.

Mae wg-quick yn gwneud y ddau heb ofyn. Mae cymorth WireGuard adeiledig NetworkManager hefyd yn gosod llwybrau peer yn ddiofyn, sy’n culhau’r rhai dan amheuaeth i opsiwn wedi’i analluogi, tabl llwybro gwahanol, neu ffurfweddiad a fewnforiwyd drwy rywbeth arall.

Cadarnhewch y twnnel cyn mynd ar drywydd y llwybr

wg show yn argraffu’r rhyngwyneb, y peer, y pwynt terfyn ac oedran yr ysgwyd llaw diweddaraf, ac mae ip addr show yn cadarnhau bod y cyfeiriad yn bresennol. Mae ysgwyd llaw diweddar yn golygu bod yr allweddi, y pwynt terfyn a’r llwybr UDP yn gweithio. Mae popeth sydd wedi torri yn eistedd i lawr yr afon oddi wrthynt: llwybro, hidlo neu ddatrys enwau.

Yna gofynnwch i’r cnewyllyn beth a wnâi gyda chyrchfan go iawn yn lle un ddamcaniaethol: ip route get 10.42.7.9. Mae’r ateb yn enwi’r rhyngwyneb allan a’r cyfeiriad ffynhonnell y byddai’r pecyn yn ei gario. Pan fydd yn enwi’r addasydd corfforol, nid yw’r pecyn byth yn mynd i mewn i’r twnnel, waeth pa mor iach y mae’r ysgwyd llaw yn edrych.

Hidlydd a rhestr llwybrau yw AllowedIPs

Mae’r rhagddodiaid yn AllowedIPs yn gwneud dau waith. Maent yn dewis pa peer sy’n cario cyrchfan allan, ac maent yn dilysu cyfeiriad ffynhonnell pecynnau sy’n dod i mewn, sef y ffin llwybro allwedd-gryptograffig. Yn wg-quick maent hefyd yn gyrru gosod llwybrau’n awtomatig, a’r ymddygiad ychwanegol hwnnw yw’r rheswm y mae’r un ffurfweddiad yn gweithio o derfynell ac nid o glient bwrdd gwaith.

Yn yr achos y tu ôl i’r erthygl hon, mewnforiwyd y proffil drwy ategyn trydydd parti yn hytrach na thrwy’r cymorth adeiledig, a daeth y rhyngwyneb i fyny heb y llwybr rhagddodiad. Mae rhestru’r tabl yn dangos hyn ar unwaith: dim ond y llwybr cysylltiedig ar gyfer cyfeiriad y rhyngwyneb sydd yn ip route show, a dim ar gyfer yr ystod bell.

Gofynnwch a yw llwybrau peer wedi’u galluogi o gwbl

Darllenwch y gosodiad cyn i chi newid unrhyw beth: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Pan fydd peer-routes yn darllen no, yr atgyweiriad a gefnogir yw nmcli connection modify work-wg wireguard.peer-routes yes, ac yna ailgysylltu. Mae ychwanegu llwybr statig yn lle hynny yn gweithio tan y weithrediad nesaf ac yna’n diflannu’n dawel. Y diflaniad hwnnw yw’r arwydd: nid y proffil sy’n gosod llwybr sy’n dychwelyd fel dirgelwch bob bore.

Os yw’r opsiwn eisoes wedi’i alluogi, gwiriwch a yw’r rhagddodiad yn byw mewn tabl arall gyda ip route show table all | grep 10. Nid yw llwybr mewn tabl nad yw’n brif dabl ar goll, mae’n syml yn anweledig i chwiliad sy’n ymgynghori â’r prif dabl yn unig. Trwsiwch y llwybro polisi yn lle pentyrru cofnod dyblyg ar ei ben.

Ychwanegwch y rhagddodiad at y cysylltiad, nid at y system sy’n rhedeg

Yn y golygydd cysylltiadau, mae tudalen WireGuard yn dal y peer a’i AllowedIPs, ac mae tudalen IPv4 yn dal llwybrau ychwanegol. Mae llwybr a ychwanegir yno yn goroesi ailgysylltu oherwydd ei fod yn perthyn i’r proffil. Ar y llinell orchymyn yr hyn sy’n cyfateb yw ychwanegu llwybr at y cysylltiad ar ffurf porth gwag, ac yna cylchu’r cysylltiad i lawr ac i fyny fel bod y newid yn cael ei gymhwyso.

Dewiswch y rhagddodiad culaf sy’n cwmpasu’r gwesteiwyr sydd eu hangen arnoch. Gall copïo enghraifft /8 y darparwr lyncu ystodau lleol sy’n digwydd bod y tu mewn iddo, ac mae’r methiannau sy’n deillio’n edrych fel twnnel wedi torri yn hytrach na llwybr rhy eang.

Y rhestr rhagddodiaid sy’n penderfynu tunelu hollt

Nid oes switsh tunelu hollt; y rhestr rhagddodiaid yw’r penderfyniad. Mae peer sydd ag un ystod ar gyfer LAN y swyddfa ac un ar gyfer rhwydwaith labordy yn anfon yr union gyrchfannau hynny drwy’r twnnel ac yn gadael popeth arall yn llonydd. Mae angen /32 ar un gwesteiwr, ac mae angen rhagddodiaid gwesteiwr ar ystodau sy’n gorgyffwrdd ar ddau safle nes bod rhywun yn ailrifo isrwydwaith.

Mae dewis peidio ag anfon dim drwy’r twnnel yn mynd â’r un penderfyniad i’w eithaf: mae rhestr fach yn cadw’r cyswllt i fyny tra bo traffig cyffredin yn cadw at ei lwybr arferol. Ysgrifennwch y bwriad, oherwydd fel arall bydd y darllenydd nesaf yn trin y rhestr fer fel esgeulustod ac yn ei hymestyn yn garedig.

Un perchennog i’r tabl llwybro

Mae wg-quick a NetworkManager ill dau’n credu bod ganddynt lwybrau’r rhyngwyneb. Mewnforiwch ffurfweddiad a ysgrifennwyd ar gyfer wg-quick ac yna hefyd gychwynnwch wasanaeth wg-quick, a chewch gofnodion dyblyg neu wrthgyferbyniol y mae eu hymddygiad yn dibynnu ar ba un a redodd olaf. Dewiswch un perchennog a thynnwch y llall: os yw NetworkManager yn rheoli’r cysylltiad, analluogwch yr uned wg-quick ar gyfer y rhyngwyneb hwnnw, ac na ychwanegwch ail broffil ar gyfer yr un ddyfais byth.

Pan fo’n rhaid i’r hollt ddilyn addasydd corfforol yn lle cyrchfan, rydych wedi symud i lwybro polisi, ac mae angen un awdur ar lwybro polisi hefyd. Gwiriwch drwy ailadrodd ip route get, ac yna cyrraedd gwesteiwr y tu mewn i’r rhagddodiad pell â rhywbeth sy’n argraffu’r cyfeiriad ffynhonnell a ddewisodd. Gwiriwch IPv6 a DNS ar wahân os yw’r proffil yn cario’r naill neu’r llall.