WireGuard-en ibilbide lehenetsiaren begizta: aurkitu muturraren bidea

Interfazea altxatzen da, bikotearen konfigurazioa zuzena dirudi, eta inolako eskuko azterketarik ez da inoiz amaitzen. Tunelaren bidez ibilbide lehenetsi bat gehitzea da hori sarritan eragiten duen urratsa: ibilbide-taulak berak erabakitzen du orain tunelaren pakete zifratuek norantz jo behar duten, eta sortzen duen erantzuna tunelera itzultzen da. Ezerk ezin du kanpoko paketea eraman barruko paketea eramango lukeenik, beraz konexioa hasi aurretik gelditzen da. Konponketa txikia da, baina ordena bat du, eta egiaztapenak garrantzi handiagoa du aldaketak baino.

Egiaztatu begizta ibilbide bat aldatu aurretik

Irakurri bikotearen uneko muturreko helbidea eta gero galdetu bideratze-pilari helbide horretara doan paketea norantz joango litzatekeen. Erantzunak tunelaren interfazea aipatzen badu, begizta egiaztatuta dago eta ez da diagnostiko gehiago behar. Gorde bi irteerak aldaketa-erregistroan ezer ukitu aurretik, konponketaren ondorengo konparazioa bi komando berberak baitira. Begizta ez da sotila behin ikusita; zailtasuna da interfazea osasuntsu dirudiela gertatzen den bitartean.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Sartu politika-arauak erregistro horretan. Taula nagusian zuzena dirudien ibilbide lehenetsi batek oraindik gal dezake markatutako edo markatu gabeko trafikoarako beste taula bat aukeratzen duen arau baten aurrean, eta begizta berriro agertuko da ondo dirudien ibilbide-taularekin.

Irakurri muturraren bidea, ez tunelaren bidea

Muturraren bidea datagrama zifratuek bikotearen helbide publikoraino egiten duten ibilbidea da, eta tunelatik kanpo egon behar du tunela existitzen den bitartean. Tunelaren bidea bikoteari eramatea baimenduta dagoen guztia da. Bi bide horiek ibilbide-taula bat partekatzen dute, eta horrexegatik sar dezake dena harrapatzen duen sarrera bakar batek bat bestean. Tunelaren trafikoa tunelaren beraren garraiotik bereiztea diseinu-arazo osoa da, eta tresna onartu bakoitzak nonbait pixka bat desberdin konpontzen du.

Egiaztatu bi helbide-familia bereizita interfazeak biak badaramatza. Funtzionatzen duen IPv4 bazterketak ez du ezer esaten IPv6 muturra oraindik irisgarria den ala ez, eta konfigurazio mistoak funtzionatzen duela dirudi bikotearen IPv6 helbidea aukeratu arte.

Berrezarri muturraren bidea aldaketa koherente bakarrarekin

Bi ikuspegi onartu daude, eta horiek nahastea da funtzionatzen duen ezarpena aurreikusezin bihurtzeko modua. Lehena interfazearen jabe den tresnari tunel osoa kudeatzen uztea da: wg-quick bikote-barruti lehenetsirako kudeaketa berezia du eta honek taula bereizi bat, politika-arauak eta socket-marka bat instalatzen ditu, eta horrek kanpoko paketeak tunelatik kanpo mantentzen ditu. Mantendu mekanismo hori osorik, erdia eskuz berregin beharrean. Eskuz gehitutako lehenetsia jada markak eta arauak instalatzen dituen kudeatzaile batekin nahasten duen ezarpenak huts egiteko joera du berriro konektatu ondoren, kudeatzaileak eskuzko urratsak suposatutako egoera berridazten duenean.

Bigarrena eskuzko diseinua da, non muturrak ostalari-ibilbide esplizitu bat jasotzen duen atezain fisikoaren bidez. Gehitu ibilbide hori lehenetsia baino lehen, ordezkatu gehitu beharrean, sarrera zaharkitu batek irabazi ez dezan, eta egiaztatu bilaketa gero.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Egiaztatu, eta gero gorde itzultzeko bidea

Aurrera egiten duen eskuko azterketaren denbora-marka lehen froga da, eta existitzen den interfaze bat baino indartsuagoa da. Jarraitu tunelaren bidezko aplikazio-proba batekin, gero jaitsi interfazea nahita eta egiaztatu ostalaria erabilgarri den egoerara itzultzen dela, ezeri seinalatzen ez dion ibilbide lehenetsia mantendu beharrean. Azken urrats hori jendeak saltatzen du, eta berrabiarazteak makina isolatuta utziko duen ala ez erabakitzen du.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Hori guztia baino lehen, gorde uneko bideratze-egoera eta ziurtatu tunelaren menpe ez dagoen sarbide-bide bat dagoela: kontsol bat, banda kanpoko kudeaketa-helbide bat edo lantokiko lankide bat. Ibilbide lehenetsia galtzen duen urrutiko makin bat ezin da berreskuratu berriki galdu duen konexioaren bidez, eta runbookeko urrats seguruena lehen komandoa baino lehen egiten dena da.