Kuidas käivitada WireGuard-tunnelit systemd teenusena

Sul on WireGuard-profiil asukohas /etc/wireguard/wg0.conf ja soovid, et see oleks üleval ilma, et peaksid pärast iga taaskäivitust käsitsi trükkima wg-quick up. Paketi systemd mall teeb täpselt seda: [email protected] käivitab wg-quicki profiili wg0 jaoks. See paigaldab ka aadressid, marsruudid, DNS-i ja kõik profiili deklareeritud konksud, mis on rohkem kui lihtsalt võtme laadimine kerneli. Kontrolli, et mall sinu süsteemis olemas on, enne kui eeldad, et see on.

Ülejäänud juhend järgib järjekorda, milles sa seda tegelikult teeksid.

Leia unit ja profiil, mida see loeb

Loetle unit-failid käsuga systemctl list-unit-files 'wg-quick*'. Distributsioonides, mis selle pakendavad, näed [email protected], kusjuures eksemplari nimi võetakse profiilist. Eksemplar lahendatakse aadressiks /etc/wireguard/<name>.conf, seega wg-quick@wg0 loeb ainult wg0.conf ja mitte midagi muud. Kui nimekiri on tühi, ei ole tööriistapakett paigaldatud ja ükski lubamise kogus ei aita.

Hoia profiil režiimil 600 ja rooti omanduses. See sisaldab privaatvõtit ja unit töötab hea meelega halvemate õigustega, kui sa seda lubad.

Tõsta see üles ja loe journalit

Käivita eksemplar käsuga systemctl start wg-quick@wg0, seejärel kontrolli systemctl status wg-quick@wg0 ja journalctl -u wg-quick@wg0 -b. Unit, mis käivitub ja kohe väljub, omab tavaliselt profiiliviga ning journal nimetab rea. Kinnita käsuga wg show, et liides on olemas ja viimane kätlus on värske. wg-quicki käsiraamat loetleb, mida skript väljaspool liidest ennast teeb.

Konfigureeritud liides ilma kätluseta on tee või võtme probleem, mitte teenuse probleem.

Hoia üks haldur vastutavana

Kui NetworkManager või mõni muu klient juba tunnelit omab, loob systemd-uniti käivitamine teise omaniku sama liidese, marsruutide ja DNS-i jaoks. Sümptomid on segadust tekitavad: tunnel tõuseb, seejärel kaovad marsruudid või DNS pöördub mõne sekundi pärast tagasi. Vali üks haldur ja keela teine selle profiili jaoks. Journal näitab ülevõtmist tavaliselt marsruudi või resolveri muudatustena kohe pärast seda, kui unit teatab edust.

Kaks haldurit ei jaga omandit. Nad kirjutavad üksteise üle.

Katseta peatamist, taaskäivitust ja alglaadimist

Käivita systemctl stop wg-quick@wg0 ja kinnita, et liides on kadunud ja marsruudid eemaldatud. Seejärel käivita see uuesti ja kontrolli, et marsruudid tulevad tagasi, sest lammutamise vead ilmnevad järelejäänud marsruutidena, mitte ebaõnnestunud käivitustena. Lõpuks luba see alglaadimisel käsuga systemctl enable --now wg-quick@wg0 ja taaskäivita korra.

Alglaadimisel peab lõpp-punkti nimi lahenduma enne, kui unit töötab. Kui DNS veel üleval ei ole, unit ebaõnnestub ja jääb ebaõnnestunuks, kuni sa selle käsitsi käivitad.

Kirjuta omanik üles

Kirjuta üles, millist profiili unit loeb, milline haldur liidest omab ja kust fail pärineb. Kui keegi hiljem sama tunneli töölauakliendisse impordib, on see märkus erinevus migratsiooni ja kahe juurutuse vahel, mis ühe aadressi pärast kaklevad. Kirjuta üles ka liidese nimi, sest kaks sarnase nimega profiili on tavaline segaduse allikas.

Kahe omanikuga tunnel töötab kuni esimese taaskäivituseni ja on siis mõistatus. Seetõttu kuulub märkus hoidlasse, mitte vestluslõime.