Mae cymar WireGuard yn gadael drwy'r WAN anghywir: pum gwiriad yn eu trefn

Dau gyfeiriad uwch, un porth, a chymar WireGuard y mae ei draffig yn dal i ddod i'r wyneb ar y llinell wrth gefn. Mae'r ysgwyd llaw yn aros yn iach drwy'r amser. Dyna pam y mae'r symptom yn hawdd i'w gamddarllen fel nam WireGuard yn hytrach na nam llwybro.

Ewch drwy'r gwiriadau isod yn eu trefn. Mae gan bob un amod stopio, ac mae neidio ymlaen fel arfer yn cynhyrchu ateb anghywir hyderus.

Gwahanwch yr ysgwyd llaw oddi wrth y llif a anfonir ymlaen

Mae gan y cyfnewid cymar amgryptiedig lwybr pen draw i gyfeiriad cyhoeddus y gweinydd. Mae gan draffig cleient a anfonir ymlaen gyrchfan wahanol a gellir ei ddewis gan farciau neu reolau polisi. Dwy benderfyniad llwybro ydynt sy'n rhannu un rhyngwyneb. Trin y naill fel tystiolaeth am y llall yw'r camgymeriad cyntaf.

Stopiwch cyn gynted ag y byddwch yn dal eich hun yn rhesymu o'r ysgwyd llaw. Tystiolaeth am lwybr y pen draw yn unig ydyw.

Darllenwch y rheol bolisi, nid y tabl rhagosodedig

Mae tabl rhagosodedig yn dangos beth sy'n digwydd pan nad oes rheol bolisi yn cyfateb. Ar borth sy'n llwybro yn ôl ffynhonnell, marc neu gyrchfan, mae'r rheol benderfynol yn byw yn rhywle arall. Gall y tabl plaen edrych yn hollol resymol tra bo'r dewis go iawn yn cael ei wneud uwch ei ben.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Darllenwch y rheolau polisi a'r tablau y maent yn cyfeirio atynt. Yna cadarnhewch pa reol sy'n cyfateb i'ch llif prawf. Mae rheol sy'n cyfeirio at ryngwyneb nad yw'n cario'r cyfeiriad uwch arfaethedig mwyach yn ddarganfyddiad, nid yn fanylyn. Mae'r chwiliad llwybr ar y diwedd yn dangos yr ateb yn llawer cyflymach na darllen tabl a dyfalu.

Gwiriwch y marc a'r cyfieithiad gyda'i gilydd

Mae llwybro polisi yn dibynnu ar farc pecyn a osodwyd yn gynharach yn y gadwyn. Os yw'r rheol farcio yn methu eich traffig, mae'r llif yn disgyn i'r prif dabl ac yn gadael drwy ba bynnag ragosodiad sydd yno. Mae pecynnau a anfonir ymlaen yn aml yn hepgor cadwyni a ysgrifennwyd ar gyfer traffig a gynhyrchir yn lleol.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

Rhaid i'r cyfieithiad gytuno â'r cyfeiriad uwch sy'n cario'r llif. Mae rheol sy'n cyfieithu i'r brif gyfeiriad tra bo'r pecyn yn gadael drwy'r llinell wrth gefn yn cynhyrchu atebion wedi'u cyfeirio at ryngwyneb na ddefnyddiodd y llif erioed. Gwiriwch amod rhyngwyneb y rheol gyfieithu ei hun. Mae rheol ddiamod yn gweithio nes defnyddir yr ail gyfeiriad uwch, ac yna'n methu mewn ffordd sy'n edrych yn ysbeidiol.

Gwyliwch pa ryngwyneb sy'n cario'r ateb

Cipiwch ar y ddau gyfeiriad uwch tra bo un cais yn rhedeg. Nodwch pa ryngwyneb sy'n cario'r cais a pha un sy'n cario'r ateb. Mae llwybrau anghymesur yn llawer haws eu gweld na'u rhagweld.

Os yw'r ateb yn cyrraedd ar y cyfeiriad uwch anghywir, mae'r broblem wedi symud o WireGuard i olrhain cysylltiadau neu gyfieithu. Ni fydd unrhyw newid i ffurfweddiad y cymar yn ei thrwsio.

Newidiwch un peth gyda ffordd yn ôl

Cadwch fynediad consol neu allan o fand cyn golygu rheolau polisi ar borth. Gwnewch un newid, profwch yr un gyrchfan awdurdodedig, yna ailgysylltwch a chadarnhau bod yr ysgwyd llaw yn dal i ddefnyddio'r llwybr pen draw arfaethedig. Ychwanegwch brawf rhifol ar yr ail deulu cyfeiriadau, oherwydd mae polisi v4 yn unig yn gadael yr un camgymeriad ar gael.

Cofnodwch pa gyfeiriad uwch y defnyddiodd pob llif. Mae'r cofnod hwnnw'n troi'r adroddiad nesaf yn wiriad dau funud yn lle prynhawn cyfan. nodynnau WireGuard ar ofodau enwau a llwybro yn disgrifio sut i wahanu llwybr y pen draw oddi wrth draffig a dwneliwyd yn fwriadol, sy'n aml yn lanach na chopïo gwaith-amgylch llwybr rhagosodedig.