WireGuard: sin ruta al par tras un cambio de subred — dos salidas

El handshake está reciente en wg show, el extremo es correcto, las claves nunca cambiaron — y ping sigue diciendo que no hay ruta al par. Cambió la subred del túnel hace una hora. Ese síntoma es la firma de un desajuste de prefijo y no de un problema de claves: WireGuard completó el handshake y luego descartó los datos porque una dirección de origen ya no coincide con lo que aceptará el par receptor. Hay dos formas sensatas de aplicar un cambio de subred, y fallan en sitios distintos.

Dos formas de aplicar el cambio, y qué cuesta cada una

La opción A es renumerar en el sitio: editar la dirección de la interfaz, los rangos de los pares, las rutas y cada copia de la configuración, y luego recargar. La opción B es construir una segunda interfaz con el prefijo nuevo junto a la antigua, mover los pares y quitar la interfaz antigua cuando el tráfico se haya movido de verdad.

El estado medio aplicado es lo que hace peligrosa la opción A, porque no parece roto. La interfaz sube, el handshake tiene éxito y solo falla la ruta de datos. La opción B cuesta más trabajo pero mantiene viva una ruta que funciona mientras encuentra cada referencia.

Qué tiene que moverse a la vez en su extremo

Cuatro cosas del host local describen la misma subred, y cambiar una es cambiar todas: la dirección de la interfaz, el AllowedIPs de cada par, la ruta que el sistema usa para esos destinos y lo que el gestor instale en su nombre. Con wg-quick, las dos últimas se generan a partir de la configuración cada vez que sube la interfaz, así que una copia obsoleta reinstala el prefijo antiguo en silencio.

Compare lo configurado con lo vivo en lugar de fiarse de cualquiera de los dos:

wg show
wg showconf wg0
ip addr show wg0
ip route get 10.90.0.5

La consulta de ruta es el paso que la gente se salta. Responde qué haría realmente el núcleo para un destino, incluida una ruta más específica que haya dejado un gestor o un entorno de ejecución de contenedores. Si informa de una interfaz distinta a la del túnel, la configuración no es el problema.

Para una interfaz en ejecución, aplique el archivo editado sin desmontar el túnel:

wg syncconf wg0 <(wg-quick strip wg0)

Eso actualiza pares y rangos en el sitio. No actualiza la dirección de la interfaz ni las rutas, porque no son ajustes de WireGuard — así que una renumeración todavía necesita recrear la interfaz o cambiar la dirección con ip, y luego volver a comprobar el enrutamiento.

Qué tiene que moverse a la vez en el extremo lejano

Aquí es donde suele morir un cambio de subred. AllowedIPs no es solo una pista de enrutamiento; también es la lista de direcciones de origen que un par puede presentar. Cuando renumera clientes y deja el AllowedIPs del servidor en el prefijo antiguo, el servidor acepta el handshake, recibe los paquetes cifrados y los descarta porque el origen interno no coincide con ningún rango que asocie a ese par. No se registra ningún error y el cliente ve un tiempo de espera.

Así que actualice el lado receptor con intención: la entrada del par en el servidor debe listar el prefijo nuevo del cliente, la ruta de vuelta del propio servidor debe apuntar al túnel para ese prefijo, y cualquier red posterior al servidor debe aprender el camino nuevo. La política de cortafuegos que nombraba el rango antiguo necesita el mismo trato, y también cualquier cosa que haga selección por origen.

El diagnóstico que separa los dos fallos es barato. Un handshake reciente sin datos significa que el túnel está levantado y que el direccionamiento interno no concuerda. Ningún handshake significa que está mirando accesibilidad o claves. No rote las claves por un problema de prefijo; reinicia lo único que funcionaba.

Copias obsoletas que sobreviven a su edición

Editar un archivo no es lo mismo que cambiar el sistema en marcha, y las copias son más numerosas de lo que la gente espera: la unidad o el gestor que posee la interfaz, un segundo perfil con el mismo nombre en otro directorio, un contenedor con su configuración incrustada en una imagen, una interfaz de router con su propia versión editada y una aplicación cliente que reimporta un túnel guardado al arrancar. Cada una puede restaurar el prefijo antiguo después de que su cambio parezca completo.

Los nombres también viajan. Si la ruta numérica funciona pero el nombre de host falla, un registro DNS interno o la configuración de un servicio sigue apuntando a la dirección antigua del túnel. Corrija la referencia en lugar de ampliar cada rango de par, lo que taparía el problema real y ampliaría a la vez la ACL de origen.

Mantenga abierta una vía de recuperación mientras trabaja: una segunda forma de entrar al host, una consola serie o una reversión programada de los archivos de configuración. Un cambio de túnel que lo deja fuera de la máquina que está cambiando es la forma más común de que esta tarea se convierta en una noche.

Elegir entre las dos, y verificar el corte

Elija A cuando posea todos los pares, el número sea pequeño y una interrupción breve sea aceptable. Elija B cuando los pares sean manos remotas que no controla, cuando un enlace entre sedes deba seguir en pie o cuando no pueda garantizar que cada copia se actualice en una sola pasada. En ese caso añada el prefijo nuevo a ambas interfaces, mueva los pares de uno en uno, observe el tráfico en la nueva y solo entonces retire la interfaz antigua y sus rutas.

Con cualquiera de las dos opciones, el cambio está hecho cuando pasan cuatro comprobaciones: el handshake es reciente, la consulta de ruta para un destino del prefijo nuevo nombra el túnel, una carga de unos cientos de bytes se transfiere en ambos sentidos, y lo mismo se cumple tras reiniciar el host o el gestor. El manual de wg(8) es la referencia de lo que significa AllowedIPs en cada sentido, y vale la pena releerlo antes de ampliar un rango para que desaparezca un síntoma.

• Handshake reciente y sin datos: mire el AllowedIPs en el receptor antes de tocar las claves.
• La consulta de ruta apunta a la interfaz equivocada: la ruta la posee un gestor o un contenedor, no su archivo.
• Dirección numérica bien y nombre de host roto: una referencia antigua, no un bucle de enrutamiento.
• El cambio solo está completo cuando, tras un reinicio, se sigue usando el prefijo nuevo.