WireGuard AllowedIPs: marsruut, mida NetworkManager kunagi ei lisanud

Kätluse loendur uueneb, liides hoiab oma aadressi ja ping teisele poolele ei jõua kuhugi. See kombinatsioon ajab inimesi segadusse, sest töötav kätlus tundub tõestusena, et tunnel on valmis. Ei ole: tunnel võib olla täielikult läbi räägitud ja ikkagi mitte omada ühtegi marsruuti, mis liiklust sinna suunaks, ning need on kaks eraldi tööd, mida teevad kaks eraldi olekuosa. Parandus sõltub täielikult sellest, kumb kahest puudub, seega esimene samm on see välja selgitada.

wg-quick teeb mõlemat ilma, et keegi seda paluks. NetworkManageri sisseehitatud WireGuardi tugi paigaldab samuti vaikimisi peer-marsruudid, mis kitsendab kahtlusalused väljalülitatud valikule, teisele marsruutimistabelile või millegi muu kaudu imporditud konfiguratsioonile.

Kinnitage tunnel enne, kui hakkate marsruuti taga ajama

wg show trükib liidese, peeri, lõpp-punkti ja viimase kätluse vanuse ning ip addr show kinnitab, et aadress on olemas. Hiljutine kätlus tähendab, et võtmed, lõpp-punkt ja UDP-teekond töötavad. Kõik katki olev asub nendest allavoolu: marsruutimine, filtreerimine või nimede lahendamine.

Seejärel küsige kernelilt, mida see teeks tegeliku sihtkohaga hüpoteetilise asemel: ip route get 10.42.7.9. Vastus nimetab väljuva liidese ja lähteaadressi, mida pakett kannaks. Kui see nimetab füüsilist adapterit, ei sisene pakett kunagi tunnelisse, ükskõik kui terve kätlus ka paistab.

AllowedIPs on filter ja marsruutide loend

AllowedIPs-i prefiksid teevad kahte tööd. Need valivad, milline peer kannab väljuvat sihtkohta, ja need valideerivad sissetulevate pakettide lähteaadressi, mis on krüptovõtme-marsruutimise piir. wg-quickis juhivad need ka marsruutide automaatset paigaldamist ja just see lisakäitumine on põhjus, miks sama konfiguratsioon töötab terminalist, aga mitte töölauakliendist.

Selle artikli taga olevas juhtumis imporditi profiil kolmanda osapoole pistikprogrammi kaudu, mitte sisseehitatud toe kaudu, ja liides tuli üles ilma prefiksi marsruudita. Tabeli loetlemine näitab seda kohe: ip route show sisaldab ainult liidese aadressi ühendatud marsruuti ja mitte midagi kaugema vahemiku kohta.

Küsige, kas peer-marsruudid on üldse lubatud

Lugege seadet enne, kui midagi muudate: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Kui peer-routes näitab no, on toetatud parandus nmcli connection modify work-wg wireguard.peer-routes yes, millele järgneb uuesti ühendamine. Staatilise marsruudi lisamine selle asemel töötab kuni järgmise aktiveerimiseni ja kaob siis vaikselt. See kadumine on tunnus: marsruuti, mis naaseb igal hommikul mõistatusena, ei paigalda profiil.

Kui valik on juba lubatud, kontrollige ip route show table all | grep 10 abil, kas prefiks elab teises tabelis. Marsruut, mis on muus kui põhitabelis, ei ole puudu, see on lihtsalt nähtamatu otsingule, mis vaatab ainult põhitabelit. Parandage poliitikamarsruutimist, mitte ärge laduge peale duplikaatset kirjet.

Lisage prefiks ühendusele, mitte töötavale süsteemile

Ühenduste redaktoris hoiab WireGuardi leht peeri ja selle AllowedIPs-i ning IPv4 leht täiendavaid marsruute. Sinna lisatud marsruut elab üle uuesti ühendamised, sest see kuulub profiilile. Käsureal on ekvivalent ühendusele marsruudi lisamine tühja lüüsi kujul ja seejärel ühenduse alla- ja ülesvõtmine, et muudatus rakenduks.

Valige kitsaim prefiks, mis katab vajalikud hostid. Teenusepakkuja eeskuju /8 kopeerimine võib alla neelata kohalikud vahemikud, mis sinna juhtumisi jäävad, ja sellest tulenevad tõrked näevad välja nagu katkine tunnel, mitte nagu liiga lai marsruut.

Jagatud tunneldamise otsustab prefiksite loend

Jagatud tunneli lülitit ei ole; otsus on prefiksite loend. Peer, kellel on üks vahemik kontori LAN-i ja teine laborivõrgu jaoks, saadab täpselt need sihtkohad läbi tunneli ja jätab kõik muu rahule. Üksik host vajab /32 ja kahes kohas kattuvad vahemikud vajavad hosti prefikseid, kuni keegi alamvõrgu ümber nummerdab.

Valik mitte midagi tunnelist läbi saata viib sama otsuse oma piirini: minimaalne loend hoiab lingi üleval, samal ajal kui tavaline liiklus järgib oma tavalist teed. Kirjutage kavatsus üles, sest muidu käsitleb järgmine lugeja lühikest loendit eksitusena ja laiendab seda heatahtlikult.

Üks omanik marsruuditabelile

wg-quick ja NetworkManager usuvad mõlemad, et nad omavad liidese marsruute. Importige wg-quickile kirjutatud konfiguratsioon ja käivitage seejärel ka wg-quick teenus, ning saate dubleeritud või vastuolulised kirjed, mille käitumine sõltub sellest, milline neist viimasena töötas. Valige üks omanik ja eemaldage teine: kui NetworkManager haldab ühendust, lülitage selle liidese jaoks wg-quick üksus välja ja ärge kunagi lisage samale seadmele teist profiili.

Kui jagunemine peab järgima füüsilist adapterit, mitte sihtkohta, olete liikunud poliitikamarsruutimise juurde ja poliitikamarsruutimine vajab samuti üht autorit. Kontrollige, korrates ip route get ja seejärel jõudes kaugema prefiksi sees oleva hostini millegagi, mis trükib selle valitud lähteaadressi. Kontrollige IPv6 ja DNS eraldi, kui profiil kannab kumbagi neist.