WireGuard AllowedIPs: la itinero, kiun NetworkManager neniam aldonis

La manprema nombrilo ĝisdatiĝas, la interfaco tenas sian adreson, kaj ping al la alia flanko iras nenie. Tiu kombinaĵo konfuzas homojn, ĉar funkcianta manpremo aspektas kiel pruvo, ke la tunelo estas preta. Ĝi ne estas: tunelo povas esti plene intertraktita kaj tamen havi neniun itinieron, kiu sendus trafikon en ĝin, kaj tio estas du apartaj taskoj plenumataj de du apartaj pecoj de stato. La riparo tute dependas de tio, kiu el la du mankas, do la unua paŝo estas ekscii tion.

wg-quick plenumas ambaŭ sen esti demandita. La enkonstruita subteno de WireGuard en NetworkManager ankaŭ instalas peer-itinerojn defaŭlte, kio mallarĝigas la suspektatojn al malŝaltita opcio, alia enitinera tabelo, aŭ agordo importita per io alia.

Konfirmu la tunelon antaŭ ol ĉasi la itinieron

wg show presas la interfacon, la peer, la finpunkton kaj la aĝon de la plej freŝa manpremo, kaj ip addr show konfirmas, ke la adreso ĉeestas. Freŝa manpremo signifas, ke la ŝlosiloj, la finpunkto kaj la UDP-vojo funkcias. Ĉio rompita sidas malsupre de ili: enitinero, filtrado aŭ nomrezolucio.

Poste demandu la kernon, kion ĝi farus kun reala celo anstataŭ hipoteza: ip route get 10.42.7.9. La respondo nomas la eliran interfacon kaj la fontadreson, kiun la pakaĵo portus. Kiam ĝi nomas la fizikan adaptilon, la pakaĵo neniam eniras la tunelon, kiom ajn sana la manpremo aspektas.

AllowedIPs estas filtrilo kaj itiniera listo

La prefiksoj en AllowedIPs faras du taskojn. Ili elektas, kiu peer portas eliran celon, kaj ili validigas la fontadreson de envenantaj pakaĵoj, kio estas la limo de kriptoŝlosila enitinero. En wg-quick ili ankaŭ stiras aŭtomatan instaladon de itineroj, kaj ĝuste tiu kroma konduto klarigas, kial la sama agordo funkcias el terminalo kaj ne el labortabla kliento.

En la kazo malantaŭ ĉi tiu artikolo, la profilo estis importita per triaparta kromprogramo anstataŭ per la enkonstruita subteno, kaj la interfaco ekfunkciis sen la prefiksa itinero. Listigo de la tabelo montras tion tuj: ip route show enhavas nur la konektitan itinieron por la interfaca adreso, kaj nenion por la fora gamo.

Demandu, ĉu peer-itineroj entute estas ŝaltitaj

Legu la agordon antaŭ ol modifi ion: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Kiam peer-routes montras no, la subtenata riparo estas nmcli connection modify work-wg wireguard.peer-routes yes, sekvata de rekonekto. Aldoni anstataŭe statikan itinieron funkcias ĝis la sekva aktivigo kaj poste silente malaperas. Tiu malapero estas la signo: itinieron, kiu revenas kiel mistero ĉiun matenon, ne instalas la profilo.

Se la opcio jam estas ŝaltita, kontrolu, ĉu la prefikso loĝas en alia tabelo per ip route show table all | grep 10. Itinero en tabelo, kiu ne estas la ĉefa, ne mankas, ĝi simple estas nevidebla por serĉo, kiu konsultas nur la ĉefan tabelon. Riparu la politikan enitineron anstataŭ staki duoblan rikordon supre.

Aldonu la prefikson al la konekto, ne al la kuranta sistemo

En la konekta redaktilo la paĝo WireGuard tenas la peer kaj ĝiajn AllowedIPs, kaj la paĝo IPv4 tenas pliajn itinerojn. Itinero aldonita tie postvivas rekonektojn, ĉar ĝi apartenas al la profilo. Ĉe la komanda linio la ekvivalento estas aldoni itinieron al la konekto per la formo kun malplena enirejo, poste mallevi kaj relevi la konekton, por ke la ŝanĝo aplikiĝu.

Elektu la plej mallarĝan prefikson, kiu kovras la gastigantojn, kiujn vi bezonas. Kopii la ekzemplon /8 de la provizanto povas engluti lokajn gamojn, kiuj hazarde situas interne, kaj la rezultaj malsukcesoj aspektas kiel rompita tunelo anstataŭ kiel tro larĝa itinero.

Dividitan tuneladon decidas la prefiksa listo

Ne ekzistas ŝaltilo por dividita tunelo; la prefiksa listo estas la decido. Peer kun unu gamo por la oficeja LAN kaj unu por laboratoria reto sendas ĝuste tiujn celojn tra la tunelo kaj lasas ĉion alian trankvile. Unuopa gastiganto bezonas /32, kaj interkovraj gamoj ĉe du lokoj bezonas gastigantajn prefiksojn ĝis iu renumerigos subreton.

Elekti sendi nenion tra la tunelo kondukas la saman decidon al ĝia limo: minimuma listo lasas la ligilon supre, dum ordinara trafiko sekvas sian kutiman vojon. Skribu la intencon, ĉar alie la sekva leganto traktos la mallongan liston kiel preteratenton kaj afable etendos ĝin.

Unu posedanto por la enitinera tabelo

wg-quick kaj NetworkManager ambaŭ kredas, ke ili posedas la itinerojn de la interfaco. Importu agordon skribitan por wg-quick kaj poste ankaŭ startigu la wg-quick-servon, kaj vi ricevos duobligitajn aŭ konfliktajn rikordojn, kies konduto dependas de tio, kiu kuris laste. Elektu unu posedanton kaj forigu la alian: se NetworkManager administras la konekton, malŝaltu la wg-quick-unuon por tiu interfaco, kaj neniam aldonu duan profilon por la sama aparato.

Kiam la divido devas sekvi fizikan adaptilon anstataŭ celon, vi transiris al politika enitinero, kaj politika enitinero ankaŭ bezonas unu aŭtoron. Kontrolu per ripeto de ip route get, poste atingante gastiganton ene de la fora prefikso per io, kio presas la fontadreson, kiun ĝi elektis. Kontrolu IPv6 kaj DNS aparte, se la profilo portas iun el ili.