WireGuardi vaikeimpeetri silmus: leidke lõpp-punkti tee

Liides tõuseb, partneri konfiguratsioon näeb õige välja ja ükski kätlus ei lõpe kunagi. Vaikeimpeetri lisamine läbi tunneli on samm, mis seda sageli põhjustab: sama marsruutimistabel otsustab nüüd, kuhu tunnelil enda krüpteeritud paketid peaksid minema, ja vastus, mille see annab, viib tagasi tunnelisse. Miski ei saa kanda välimist paketti, mis kannaks sisemist, seega ühendus jääb seisma enne, kui see algab. Parandus on väike, kuid sellel on järjekord ja kontrollimine on tähtsam kui muudatus.

Kinnitage silmus enne marsruudi muutmist

Lugege partneri praegust lõpp-punkti aadressi ja küsige seejärel marsruutimispinult, kuhu läheks pakett sellele aadressile. Kui vastus nimetab tunneli liidest, on silmus kinnitatud ja täiendav diagnoos pole vajalik. Salvestage mõlemad väljundid muudatuste logisse enne millegi puudutamist, sest parandusjärgne võrdlus on samad kaks käsku. Silmus ei ole peen, kui seda on nähtud; raskus on selles, et liides näeb terve välja, kui see juhtub.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Lisage sellesse salvestusse ka poliitikareeglid. Vaikeimpeeter, mis näeb põhitabelis õige välja, võib ikkagi kaotada reeglile, mis valib märgitud või märkimata liikluse jaoks teise tabeli, ja silmus ilmub uuesti marsruutimistabeliga, mis näeb korras välja.

Lugege lõpp-punkti teed, mitte tunneli teed

Lõpp-punkti tee on marsruut, mille krüpteeritud datagrammid läbivad partneri avaliku aadressini, ja see peab jääma tunnelist väljapoole seni, kuni tunnel eksisteerib. Tunneli tee on kõik, mida partneril on lubatud kanda. Need kaks teed jagavad ühte marsruutimistabelit ja täpselt sellepärast võib üks kõikehaarav kirje need üksteise sisse kokku suruda. Tunneli liikluse ja tunneli enda transpordi eraldamine on kogu disainiprobleem ning iga toetatud tööriist lahendab selle kuskil veidi teisiti.

Kontrollige mõlemat aadressiperekonda eraldi, kui liides kannab mõlemat. Töötav IPv4 välistus ei ütle midagi selle kohta, kas IPv6 lõpp-punkt on veel kättesaadav, ja segakonfiguratsioon võib näida töötavat seni, kuni valitakse partneri IPv6 aadress.

Taastage lõpp-punkti tee ühe sidusa muudatusega

On kaks toetatud lähenemist ja nende segamine on see, kuidas töötav seadistus muutub ettearvamatuks. Esimene on lasta liidest omaval tööriistal kogu tunnelit hallata: wg-quick on vaikimisi partnerivahemiku jaoks eraldi käsitlus, mis paigaldab eraldi tabeli, poliitikareeglid ja soketi märgi, mis hoiab välised paketid tunnelist väljas. Jätke see mehhanism puutumata, selle asemel et pool sellest käsitsi uuesti luua. Seadistus, mis segab käsitsi lisatud vaikeimpeetri halduriga, mis juba paigaldab märke ja reegleid, kipub pärast uuesti ühendamist ebaõnnestuma, kui haldur kirjutab üle oleku, mida käsitsi samm eeldas.

Teine on käsitsi disain, kus lõpp-punkt saab füüsilise lüüsi kaudu selgesõnalise host-marsruudi. Lisage see marsruut enne vaikeimpeetrit, asendage selle asemel et lisada, et aegunud kirje ei saaks võita, ja kinnitage otsing pärast seda.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Kontrollige ja hoidke siis tagasiteed

Edasi liikuv kätluse ajatempel on esimene tõestus ja see on tugevam kui liides, mis lihtsalt eksisteerib. Järgige seda rakenduse testiga läbi tunneli, seejärel tooge liides meelega alla ja kinnitage, et host naaseb kasutatavasse olekusse, selle asemel et hoida vaikeimpeetrit, mis osutab mitte kuhugi. Selle viimase sammu jätavad inimesed vahele ja see otsustab, kas taaskäivitus jätab masina ühenduseta.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Enne kõike seda salvestage praegune marsruutimisolek ja veenduge, et sissepääs ei sõltuks tunnelist: konsool, välisvõrgu haldusaadress või kolleeg kohapeal. Kaugmasin, mis kaotab oma vaikeimpeetri, ei ole taastatav ühenduse kaudu, mille see just kaotas, ja runbooki kõige turvalisem samm on see, mis tehakse enne esimest käsku.