NetworkManager vai wg-quick: kuka omistaa WireGuard-reittisi?

Muutat AllowedIPs-kenttää WireGuard-tiedostossa, käynnistät tunnelin uudelleen, ja reititystaulu näyttää täsmälleen samalta kuin ennen. Tavallinen reaktio on poistaa hankala reitti ja jatkaa, mikä toimii, kunnes seuraava uudelleenyhdistäminen palauttaa sen. Muokkaamasi tiedosto ei välttämättä ole objekti, joka tuotti näkemäsi tilan. Kaksi hallintaa voi ajaa samaa protokollaa yhdellä koneella, ja vain yksi niistä omistaa liitännän kerrallaan.

Myytti: koneella on yksi WireGuard-asetus

wg-quick lukee tiedoston hakemistosta /etc/wireguard/ ja rakentaa liitännän, kun nostat sen. NetworkManager tallentaa yhteyden profiilin omaan keyfile-muotoonsa ja esittää sen aktivoinnin yhteydessä, ja wg-quick-tiedoston tuonti kopioi arvot kyseiseen profiiliin sen sijaan, että linkittäisi siihen. Alkuperäisen muokkaaminen jälkeenpäin ei muuta mitään, koska profiili ei enää lue sitä. Sama vertaisten ja avainten luettelo voi siis olla olemassa kahdesti, ja toinen kopio on voimassa.

Muistamisen arvoinen merkki: muutokset, jotka kestävät uudelleenkäynnistyksen mutta eivät uudelleentuontia, tulivat yhdestä varastosta, ja uudelleenkäynnistyksessä katoavat muutokset toisesta.

Yksi käytännön esimerkki tekee jaon selväksi. Vertaa nmcli connection show kohteeseen systemctl status wg-quick@wg0, ja tarkista sitten, mihin liitäntään reitit todella roikkuvat. Jos palvelu on kuollut ja liitäntä on ylhäällä, profiili tekee työn, mitä tiedosto sanoo tahansa.

Myytti: reitityssäännöt ovat osa WireGuardia

Ytimen WireGuard-laite tuntee vertaiset ja avaimet, eikä se tiedä mitään käytäntöperusteisesta reitityksestä. Kaikki ip rule merkinnät ja lisätaulut, jotka näet, asensi työkalu, joka nosti liitännän. wg-quick voi lisätä fwmarkin ja oman taulun sekä siihen osoittavat säännöt, kun taas NetworkManager asentaa reitit omien ipv4-asetustensa kautta ja jättää DNS:n sille resolver-taustalle, jota järjestelmä käyttää. Sama tunneli, eri sivuvaikutukset.

Lue ip rule ja ip route show table all ennen kuin muutat mitään, ja merkitse muistiin, missä taulussa kukin reitti elää. Taulun numero, jota et määrittänyt, on vahva vihje sen luoneesta työkalusta.

Myytti: reitin poistaminen on korjaus

Ajonaikana poistettu reitti on reitti, jonka omistaja asentaa uudelleen seuraavassa aktivoinnissa, ja aktivointi voi tapahtua ilman sinua: kannettavan herääminen, linkin häiriö, palvelun uudelleenkäynnistys tai NetworkManagerin automaattiyhteys. Siksi sama reitti palaa ja siksi kiertotie tuntuu epäluotettavalta eikä väärältä. Tunnista ensin hallinta ja muuta sitten syötettä, jota se hallinta todella lukee.

Uudelleenyhdistäminen ja kyseisen palvelun uudelleenkäynnistäminen on testi, joka erottaa todellisen korjauksen siistiltä näyttävästä.

Valitse yksi omistaja ja poista toinen

Valitse hallinta, jota käyttöönotto tukee, ja poista sitten kilpaileva aktivointi käytöstä sen dokumentoidulla ohjauksella sen sijaan, että toivoisit sen pysyvän toimettomana. Maskattu wg-quick-palvelu tai poistettu NetworkManager-profiili on eksplisiittinen; molempien pitäminen käytössä ja niiden kilpailuttaminen ei ole. Säilytä toimiva pääsy ennen kuin poistat mitään käytöstä, sillä etäistuntosi kantava liitäntä voi olla se, jonka olet juuri poistamassa.

Tarkista muutoksen jälkeen mukana oleva ja poissuljettu liikenne, sitten DNS ja käynnistä sitten kerran uudelleen. Jos tila kestää uudelleenkäynnistyksen yhdellä hallinnalla, sinulla on omistaja sattuman sijaan.

Yleinen sääntö kannattaa pitää mielessä myös WireGuardin ulkopuolella: kun asetus tulee yhä uudelleen takaisin, lopeta tuloksen poistaminen ja etsi prosessi, joka tuottaa sitä jatkuvasti.