Dolen llwybr diofyn WireGuard: dod o hyd i lwybr y pen draw

Mae’r rhyngwyneb yn codi, mae ffurfweddiad y cymar yn edrych yn gywir, ac nid yw unrhyw gyfarch yn cwblhau byth. Ychwanegu llwybr diofyn drwy’r tiwnel yw’r cam sy’n aml yn achosi hyn: mae’r un tabl llwybrau nawr yn penderfynu i ble y dylai pecynnau amgryptiedig y tiwnel fynd, ac mae’r ateb a gynhyrchir yn ôl i’r tiwnel. Ni all unrhyw beth gario’r pecyn allanol a fyddai’n cario’r un mewnol, felly mae’r cysylltiad yn stopio cyn iddo ddechrau. Mae’r trwsio’n fach, ond mae ganddo drefn, ac mae’r gwirio’n bwysicach na’r golygu.

Cadarnhewch y ddolen cyn newid llwybr

Darllenwch gyfeiriad presennol pen draw’r cymar ac yna gofynnwch i’r stac llwybro i ble yr âi pecyn i’r cyfeiriad hwnnw. Os yw’r ateb yn enwi rhyngwyneb y tiwnel, mae’r ddolen wedi’i chadarnhau ac nid oes angen diagnosis pellach. Storiwch y ddau allbwn yn y cofnod newid cyn cyffwrdd ag unrhyw beth, oherwydd yr un dau orchymyn yw’r gymhariaeth ar ôl y trwsio. Nid yw dolen yn gynnil ar ôl ei gweld; yr anhawster yw bod y rhyngwyneb yn edrych yn iach tra mae’n digwydd.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Cynhwyswch y rheolau polisi yn y casgliad hwnnw. Gall llwybr diofyn sy’n edrych yn gywir yn y prif dabl o hyd golli i reol sy’n dewis tabl gwahanol ar gyfer traffig wedi’i farcio neu heb ei farcio, a bydd y ddolen yn ymddangos eto gyda thabl llwybrau sy’n edrych yn iawn.

Darllenwch lwybr y pen draw, nid llwybr y tiwnel

Llwybr y pen draw yw’r llwybr y mae’r datagramau amgryptiedig yn ei gymryd i gyfeiriad cyhoeddus y cymar, ac mae’n rhaid iddo aros y tu allan i’r tiwnel cyhyd ag y bydd y tiwnel yn bodoli. Llwybr y tiwnel yw popeth y caniateir i’r cymar ei gario. Mae’r ddau lwybr hyn yn rhannu un tabl llwybrau, a dyna’n union pam y gall un cofnod sy’n dal popeth eu cwympo i’w gilydd. Gwahanu traffig y tiwnel oddi wrth drafnidiaeth y tiwnel ei hun yw’r holl broblem dylunio, ac mae pob offeryn a gefnogir yn ei datrys yn rhywle ychydig yn wahanol.

Gwiriwch y ddwy deulu cyfeiriad ar wahân os yw’r rhyngwyneb yn cario’r ddwy. Nid yw eithriad IPv4 sy’n gweithio yn dweud unrhyw beth am a yw pen draw IPv6 yn dal yn gyrraeddadwy, a gall ffurfweddiad cymysg ymddangos fel pe bai’n gweithio nes dewis cyfeiriad IPv6 y cymar.

Adferwch lwybr y pen draw ag un newid cydlynol

Mae dau ddull a gefnogir, a’u cymysgu yw sut mae setup sy’n gweithio yn mynd yn anrhagweladwy. Y cyntaf yw gadael i’r offeryn sy’n berchen ar y rhyngwyneb drin y tiwnel cyfan: wg-quick mae ganddo driniaeth bwrpasol ar gyfer ystod cymar diofyn sy’n gosod tabl ar wahân, rheolau polisi a marc soced, sy’n cadw’r pecynnau allanol allan o’r tiwnel. Gadewch y peirianwaith hwnnw’n gyfan yn hytrach na atgynhyrchu hanner ohono â llaw. Mae setup sy’n cymysgu diofyn a ychwanegwyd â llaw â rheolwr sydd eisoes yn gosod marciau a rheolau yn tueddu i fethu ar ôl ailgysylltu, pan fydd y rheolwr yn ailysgrifennu cyflwr y tybiai’r cam â llaw amdano.

Yr ail yw dyluniad â llaw lle mae’r pen draw yn cael llwybr gwesteiwr penodol drwy’r porth ffisegol. Ychwanegwch y llwybr hwnnw o flaen y diofyn, disodli yn hytrach nag ychwanegu fel na all cofnod hen ffasiwn ennill, a chadarnhau’r chwiliad wedyn.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Gwiriwch, yna cadwch ffordd yn ôl

Mae stamp amser cyfarch sy’n symud ymlaen yn brawf cyntaf, ac mae’n gryfach nag unrhyw ryngwyneb sy’n bodoli’n unig. Dilynwch ef gyda phrawf cymhwysiad drwy’r tiwnel, yna tynnwch y rhyngwyneb i lawr yn fwriadol a chadarnhewch fod y gwesteiwr yn dychwelyd i gyflwr defnyddiadwy yn hytrach na dal llwybr diofyn yn pwyntio at ddim. Y cam olaf hwnnw yw’r un y mae pobl yn ei hepgor, a hwnnw sy’n penderfynu a fydd ailgychwyn yn gadael y peiriant yn sownd.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Cyn unrhyw un o’r rhain, arbedwch gyflwr llwybro presennol a sicrhewch fod ffordd i mewn nad yw’n dibynnu ar y tiwnel: consol, cyfeiriad rheoli all-fand neu gydweithiwr ar y safle. Ni ellir adfer peiriant o bell sy’n colli ei lwybr diofyn dros y cysylltiad y mae newydd ei golli, a’r cam runbook mwyaf diogel yw’r un a gymerir cyn y gorchymyn cyntaf.