WireGuard-partnero eliras per la malĝusta WAN: kvin kontroloj laŭorde

Ĉe enirejo kun pluraj suprenligoj la manpremo kaj la plusendita fluo povas sekvi malsamajn vojojn. Trairu regulon, markon, tradukon kaj respondon en tiu ordo.

Du suprenligoj, unu enirejo kaj WireGuard-partnero, kies trafiko daŭre aperas sur la rezerva linio. La manpremo restas sana la tutan tempon. Tial la simptomo facile mislegeblas kiel difekto de WireGuard anstataŭ kiel enkursiga problemo.

Plenumu la subajn kontrolojn laŭorde. Ĉiu havas haltokondiĉon, kaj antaŭi kutime produktas memfidan malĝustan respondon.

Apartigu la manpremon de la plusendita fluo

La ĉifrita interŝanĝo kun la partnero havas finpunkton-an enkursigon al la publika adreso de la servilo. Plusendita klienta trafiko havas alian celon kaj povas esti elektita per markoj aŭ politikaj reguloj. Temas pri du enkursigaj decidoj, kiuj dividas unu interfacon. Trakti unu kiel pruvon pri la alia estas la unua eraro.

Haltu tuj kiam vi kaptas vin rezonanta el la manpremo. Ĝi estas pruvo nur pri la finpunkta vojo.

Legu la politikan regulon, ne la defaŭltan tabelon

Defaŭlta tabelo montras, kio okazas kiam neniu politika regulo kongruas. Ĉe enirejo, kiu enkursigas laŭ fonto, marko aŭ celo, la decida regulo loĝas aliloke. La ordinara tabelo povas aspekti tute racia, dum la reala elekto fariĝas super ĝi.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Legu la politikajn regulojn kaj la tabelojn, al kiuj ili montras. Poste konfirmu, kiu regulo kongruas kun via testa fluo. Regulo, kiu referencas interfacon, kiu jam ne portas la celatan suprenligon, estas trovo, ne detalo. La enkursiga serĉo ĉe la fino montras la respondon multe pli rapide ol legi tabelon kaj diveni.

Kontrolu la markon kaj la tradukon kune

Politika enkursigado baziĝas sur paketa marko starigita pli frue en la ĉeno. Se la marka regulo maltrafas vian trafikon, la fluo falas al la ĉefa tabelo kaj eliras per kio ajn estas defaŭlta tie. Plusenditaj pakaĵoj ofte preterpasas ĉenojn verkitajn por loke generita trafiko.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

La traduko devas kongrui kun la suprenligo, kiu portas la fluon. Regulo, kiu tradukas al la ĉefa adreso dum la pakaĵo eliras per la rezerva linio, produktas respondojn adresitajn al interfaco, kiun la fluo neniam uzis. Kontrolu la propran interfacan kondiĉon de la traduka regulo. Senkondiĉa regulo funkcias ĝis la dua suprenligo estas uzata, kaj poste fiaskas tiel, ke ĝi aspektas intermita.

Rigardu, kiun interfacon portas la respondon

Kaptu sur ambaŭ suprenligoj dum unu peto funkcias. Notu, kiun interfacon portas la peton kaj kiun la respondon. Nesimetriaj vojoj estas multe pli facile videblaj ol antaŭdireblaj.

Se la respondo alvenas per la malĝusta suprenligo, la problemo moviĝis de WireGuard al konekta spurrado aŭ traduko. Neniu ŝanĝo al la partnereca agordo riparos ĝin.

Ŝanĝu unu aferon kun revena vojo

Konservu konzolan aŭ eksterbandan aliron antaŭ ol redakti politikajn regulojn ĉe enirejo. Faru unu ŝanĝon, testu la saman rajtigitan celon, poste rekonektu kaj konfirmu, ke la manpremo ankoraŭ uzas la celatan finpunktan vojon. Aldonu numeran teston pri la dua adresa familio, ĉar politiko nur por v4 lasas la saman eraron disponebla.

Notu, kiun suprenligon uzis ĉiu fluo. Tiu registro igas la sekvan raporton duminuta kontrolo anstataŭ tuta posttagmezo. la notoj de WireGuard pri nomspacoj kaj enkursigado priskribas, kiel intence apartigi la finpunktan vojon de la tunelita trafiko, kio kutime estas pli pura ol kopii ĉirkaŭvojon kun defaŭlta enkursigo.

Rilataj artikoloj