WireGuard-peer väljub vale WANi kaudu: viis kontrolli järjekorras

Mitme ühendusliiniga lüüs võivad käepigistus ja edastatud voog minna eri teid. Käige läbi reegel, märgis, tõlge ja vastus just selles järjekorras.

Kaks ühendusliini, üks lüüs ja WireGuard-peer, mille liiklus ilmub ikka ja jälle varuliinile. Käepigistus püsib kogu aeg terve. Seetõttu on sümptomit lihtne valesti lugeda WireGuardi rikkeks, mitte marsruutimise veaks.

Tehke allolevad kontrollid järjekorras. Igal neist on peatumistingimus, ja ettejõudmine annab tavaliselt enesekindla vale vastuse.

Eraldage käepigistus edastatud voost

Krüpteeritud peer-vahetusel on lõpp-punkti marsruut serveri avaliku aadressini. Edastatud kliendiliiklusel on teine sihtkoht ja seda võivad valida märgised või poliitikareeglid. Need on kaks marsruutimisotsust, mis jagavad üht liidest. Ühe pidamine tõestuseks teise kohta on esimene viga.

Peatuge kohe, kui tabate end käepigistusest järeldamast. See on tõestus ainult lõpp-punkti tee kohta.

Lugege poliitikareeglit, mitte vaiketabelit

Vaiketabel näitab, mis juhtub, kui ükski poliitikareegel ei sobi. Lüüsil, mis marsruudib allika, märgise või sihtkoha järgi, elab otsustav reegel mujal. Tavaline tabel võib tunduda täiesti mõistlik, samal ajal kui tegelik valik tehakse selle kohal.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Lugege poliitikareegleid ja tabeleid, millele need viitavad. Seejärel kinnitage, milline reegel sobib teie testvooga. Reegel, mis viitab liidesele, mis ei kanna enam kavandatud ühendusliini, on leid, mitte detail. Marsruudiotsing lõpus näitab vastust palju kiiremini kui tabeli lugemine ja oletamine.

Kontrollige märgist ja tõlget koos

Poliitikamarsruutimine toetub paketi märgisele, mis on seatud varem ahelas. Kui märgistusreegel teie liiklusest mööda läheb, langeb voog peamisesse tabelisse ja väljub selle kaudu, mis seal vaikimisi on. Edastatud paketid jätavad sageli vahele ahelad, mis on kirjutatud kohalikult loodud liikluse jaoks.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

Tõlge peab sobima ühendusliiniga, mis voogu kannab. Reegel, mis tõlgib peamisele aadressile, samal ajal kui pakett väljub varuliinile, tekitab vastused, mis on adresseeritud liidesele, mida voog kunagi ei kasutanud. Kontrollige tõlkereegli enda liidese tingimust. Tingimusteta reegel töötab seni, kuni kasutatakse teist ühendusliini, ja siis ebaõnnestub viisil, mis tundub katkendlik.

Jälgige, milline liides vastust kannab

Püüdke liiklust mõlemal ühendusliinil, kui üks päring töötab. Märkige, milline liides kannab päringut ja milline vastust. Asümmeetrilisi teid on palju lihtsam näha kui ette ennustada.

Kui vastus saabub vale ühendusliini kaudu, on probleem liikunud WireGuardist ühenduste jälgimisse või tõlkesse. Ükski peer-konfiguratsiooni muudatus ei paranda seda.

Muutke üht asja tagasiteega

Hoidke konsooli- või ribavälist juurdepääsu enne poliitikareeglite muutmist lüüsil. Tehke üks muudatus, testige sama lubatud sihtkohta, seejärel ühenduge uuesti ja kinnitage, et käepigistus kasutab endiselt kavandatud lõpp-punkti teed. Lisage numbriline test teisele aadressiperekonnale, sest ainult v4 poliitika jätab sama vea kättesaadavaks.

Märkige, millist ühendusliini iga voog kasutas. See kirje muudab järgmise aruande kaheminutiliseks kontrolliks terve pärastlõuna asemel. WireGuardi märkused nimeruumide ja marsruutimise kohta kirjeldavad, kuidas lõpp-punkti teed tunnelitud liiklusest teadlikult eraldada, mis on tavaliselt puhtam kui vaikemarsruudi möödaviigu kopeerimine.

Seotud artiklid