WireGuard: ez dago biderik parekidera azpisarea aldatu ondoren — bi irteera
Azpisare aldaketak WireGuard bi lekutan hausten du: AllowedIPs eta itzulera-bidea. Konparatu tokian bertan berriz zenbakitzea interfazea berreraikitzearekin.
Esku-ematea freskoa da wg show-en, muturra zuzena da, gakoak ez dira inoiz aldatu — eta ping-ek oraindik dio ez dagoela biderik parekidera. Tunelaren azpisarea duela ordu bat aldatu duzu. Sintoma hori aurrizki-desadostasunaren sinadura da, ez gakoen arazoarena: WireGuard-ek esku-ematea osatu zuen eta gero datuak baztertu zituen, jatorrizko helbide bat ez baitator bat parekide hartzaileak onartuko duenarekin. Azpisare aldaketa gauzatzeko bi modu zentzuzko daude, eta leku desberdinetan huts egiten dute.
Aldaketa gauzatzeko bi modu, eta zenbat kostatzen duen bakoitzak
A aukera tokian bertan berriz zenbakitzea da: editatu interfazearen helbidea, parekideen tarteak, bideak eta konfigurazioaren kopia guztiak, eta gero kargatu berriro. B aukera aurrizki berrian bigarren interfaze bat zaharraren ondoan eraikitzea da, parekideak hara eramatea eta interfaze zaharra kentzea trafikoa benetan mugitu ondoren.
| A: renumber in place | B: parallel interface | |
|---|---|---|
| Downtime | The reload window, per host | None if peers are added to both |
| Rollback | Re-apply the previous files | Point peers back at the old interface |
| Risk | Half-applied change: new address, old ranges | Two live interfaces with overlapping intent |
| Effort | Small, if the deployment has one owner | Higher, and needs a cleanup step |
| Fits | Two or three peers you control | Many peers, remote sites, or no maintenance window |
Erdi aplikatutako egoerak egiten du A aukera arriskutsua, ez baitirudi apurtuta dagoenik. Interfazea altxatzen da, esku-emateak arrakasta du eta datu-bideak bakarrik huts egiten du. B aukerak lan gehiago eskatzen du, baina funtzionatzen duen bide bat bizirik mantentzen du erreferentzia bakoitza aurkitzen duzun bitartean.
Zure muturrean elkarrekin mugitu behar duena
Lau gauzak deskribatzen dute azpisare bera host lokaleko, eta bat aldatzea guztiak aldatzea da: interfazearen helbidea, parekide bakoitzaren AllowedIPs, sistemak helmuga horietarako erabiltzen duen bidea eta kudeatzaileak zure izenean instalatzen duen guztia. wg-quick-ekin, azken biak konfiguraziotik sortzen dira interfazea altxatzen den bakoitzean, beraz kopia zaharkitu batek isilean berrezartzen du aurrizki zaharra.
Konparatu konfiguratuta dagoena bizirik dagoenarekin, bietako edozeini fidatu beharrean:
wg show
wg showconf wg0
ip addr show wg0
ip route get 10.90.0.5Bide-kontsulta da jendeak saltatzen duen urratsa. Helmuga baterako kernela benetan zer egingo lukeen erantzuten du, kudeatzaileak edo edukiontzien exekuzio-inguruneak utzitako bide zehatzagoa barne. Tunelarena ez den interfaze bat adierazten badu, konfigurazioa ez da arazoa.
Funtzionatzen ari den interfaze baterako, aplikatu editatu den fitxategia tunela eraitsi gabe:
wg syncconf wg0 <(wg-quick strip wg0)Horrek parekideak eta tarteak tokian bertan eguneratzen ditu. Ez du interfazearen helbidea edo bideak eguneratzen, horiek ez baitira WireGuard-en ezarpenak — beraz, berriz zenbakitzeak oraindik interfazea berriro sortu edo helbidea ip-rekin aldatu behar ditu, eta gero bideratzea berriro egiaztatu.
Urrutiko muturrean elkarrekin mugitu behar duena
Hemen hiltzen da normalean azpisare aldaketa. AllowedIPs ez da bideratze-arrasto bat soilik; parekide batek aurkez dezakeen jatorrizko helbideen zerrenda ere bada. Bezeroak berriz zenbakitu eta zerbitzariaren AllowedIPs aurrizki zaharrean uzten duzunean, zerbitzariak esku-ematea onartzen du, pakete zifratuak jasotzen ditu eta baztertu egiten ditu, barneko jatorria parekide horrekin lotzen duen tarteren batekin bat ez datorrelako. Ez da errorerik erregistratzen, eta bezeroak denbora-muga bat ikusten du.
Beraz, eguneratu harrera-aldea asmoz: zerbitzariko parekide-sarrera berriak bezeroaren aurrizki berria zerrendatu behar du, zerbitzariaren itzulera-bideak aurrizki horretarako tunelera seinalatu behar du, eta zerbitzariaren atzeko beheragoko sare orok bide berria ikasi behar du. Tarte zaharra izendatzen zuen suebaki-politikak tratamendu bera behar du, eta jatorriaren araberako hautaketa egiten duen edozerk ere bai.
Bi hutsegiteak bereizten dituen diagnostikoa merkea da. Esku-emate berria daturik gabe esan nahi du tunela altxatuta dagoela eta barneko helbideratzea ez datorrela bat. Esku-ematerik ez esan nahi du irisgarritasuna edo gakoak ari zarela begiratzen. Ez biratu gakoak aurrizki-arazo batengatik; funtzionatzen zuen gauza bakarra berrezartzen du.
Zure edizioa baino gehiago irauten duten kopia zaharkituak
Fitxategi bat editatzea ez da sistema martxan aldatzearen berdin, eta kopiak jendeak espero baino ugariagoak dira: interfazearen jabe den unitatea edo kudeatzailea, izen bereko bigarren profila beste direktorio batean, irudi batean konfigurazioa txertatuta duen edukiontzi bat, bere bertsio editatua duen router-interfaze bat eta abiaraztean gordetako tunel bat berriro inportatzen duen bezero-aplikazio bat. Horietako bakoitzak aurrizki zaharra leheneratu dezake zure aldaketa osatuta dagoela dirudien ondoren.
Izenak ere bidaiatzen dute. Bide numerikoak funtzionatzen badu baina host-izenak huts egiten badu, barneko DNS erregistro batek edo zerbitzu-konfigurazio batek tunelaren helbide zaharrera seinalatzen jarraitzen du. Zuzendu erreferentzia, parekide-tarte guztiak zabaldu beharrean; izan ere, horrek benetako arazoa estaliko luke eta aldi berean jatorrizko ACLa handituko luke.
Mantendu berreskuratze-bide bat irekita lanean ari zaren bitartean: host-era sartzeko bigarren modu bat, serie-kontsola bat edo konfigurazio-fitxategien programatutako atzera-egitea. Aldatzen ari zaren makinatik kanpo uzten zaituen tunel-aldaketa da zeregin hau arratsalde bihurtzeko modurik ohikoena.
Bien artean aukeratzea, eta ebakia egiaztatzea
Aukeratu A parekide guztiak zureak direnean, kopurua txikia denean eta etenaldi labur bat onargarria denean. Aukeratu B parekideak kontrolatzen ez dituzun urrutiko eskuak direnean, gune arteko esteka zutik egon behar denean edo kopia guztiak pasaldi bakarrean eguneratuko direla bermatu ezin duzunean. Kasu horretan gehitu aurrizki berria bi interfazeetan, mugitu parekideak banan-banan, begiratu trafikoa berrian, eta orduan soilik kendu interfaze zaharra eta bere bideak.
Bi aukera horietan, aldaketa egina dago lau egiaztapen pasatzen direnean: esku-ematea berria da, aurrizki berriko helmuga baterako bide-kontsultak tunela izendatzen du, ehunka bat byteko karga bi noranzkoetan transferitzen da, eta gauza bera betetzen da host-a edo kudeatzailea berrabiarazi ondoren. Xehetasunetarako, wg(8) eskuliburua da noranzko bakoitzean AllowedIPs-ek zer esan nahi duen azaltzen duen erreferentzia, eta merezi du berriro irakurtzea tarte bat zabaldu aurretik sintoma bat desager dadin.
- Esku-emate berria eta daturik ez: begiratu harrera-aldeko AllowedIPs gakoei ukitu aurretik.
- Bide-kontsultak interfaze okerra adierazten du: bidea kudeatzaile edo edukiontzi batena da, ez zure fitxategiarena.
- Helbide numerikoa ondo eta host-izena apurtuta: erreferentzia zaharra, ez bideratze-begizta.
- Aldaketa osatuta dago soilik berrabiarazi ondoren oraindik aurrizki berria erabiltzen denean.