wg-quick rikkoo DNS:n yhdistettäessä: lue asennusvirhe

Tunneli nousee, kättely valmistuu ja nimien ratkaisu pysähtyy. Vertaiskonfiguraatiossa ei muuttunut mikään, koska DNS-rivi ei koskaan ollut osa vertaiskonfiguraatiota. Se kuuluu asennusapuriohjelmalle, eli vika asuu isäntäkoneen ratkaisintyökaluissa eikä WireGuardin avaimissa.

Lue ensimmäinen viesti, jonka apuriohjelma tulosti, älä viimeistä, ja ero puuttuvan työkalun ja tavoittamattoman palvelimen välillä käy ilmeiseksi.

DNS-rivi on apuriohjelman ominaisuus

Ydinasetuskentät kuvaavat vertaiset, avaimet ja sallitut osoitteet. Nimien ratkaisu lisätään päälle sen skriptin toimesta, joka nostaa liitännän, ja jokainen toteutus tekee sen eri tavalla. Työpöytäasiakas voi hallita DNS:ää oman palvelunsa kautta, jakelun skripti voi kutsua yhtä useista ratkaisintyökaluista, ja kontti ei välttämättä tee kumpaakaan. Asetustiedosto ei voi kertoa, mikä näistä poluista on pelissä.

Siksi asetustiedosto voi olla protokollalle kelvollinen ja silti epäonnistua asennuksen aikana: vika kuuluu koukkuun, jota protokolla ei koskaan näe.

Laajennetun kentän kirjoittaminen ydinasetukseen ja odotus, että protokollatyökalu hyväksyy sen, tuottaa saman sekaannuksen vastakkaisesta suunnasta. Kaksi jäsentäjää lukee eri tiedostoja.

Sen tietäminen, kumpi on käynnissä, on ensimmäinen diagnoosivaihe, ja se näkyy yleensä kirjoittamassasi komennossa eikä asetustiedostossa.

Lue ensimmäinen virhe, jonka apuriohjelma tulostaa

Nosta liitäntä etualalle ja lue tuloste järjestyksessä. Puuttuva ratkaisintyökalu, epäonnistunut koukku ja tavoittamaton palvelin pysäyttävät saman komennon eri kohdissa, ja jokaisella on oma korjauksensa.

wg-quick up wg0
resolvectl status wg0
ip route get 10.66.0.1

Ensimmäinen komento kertoo asennuksen edistymisestä, toinen näyttää, mitä palvelimia liitäntä nyt vaatii, ja kolmas näyttää, onko ratkaisimen osoite todella tavoitettavissa tunnelin kautta. Ratkaisin, joka on määritetty mutta ei reititettävissä, tuottaa aikakatkaisuja asetusvirheiden sijaan, minkä vuoksi kaksi tarkistusta kuuluvat yhteen. Vain tilatulosteen lukeminen tuottaa itsevarman ja väärän johtopäätöksen.

Jos asennus valmistui ja nimien ratkaisu epäonnistuu edelleen, vertaa apuriohjelman asentamaa ratkaisinta siihen, jota verkko käytti aiemmin. Yksityinen ratkaisin tarvitsee reitin tunnelin kautta, ja asetus, joka luettelee sen kattamatta sen etuliitettä, jättää jokaisen kyselyn odottamaan.

Mikä ratkaisin isännällä oikeasti on

Nykyaikaiset Linux-isännät ajavat usein paikallista stub-ratkaisinta, joten apuriohjelman asentaman osoitteen kuluttaa tuo stub eivätkä sovellukset suoraan. Luodun tiedoston muokkaaminen käsin voi näyttää toimivan seuraavaan uudelleenyhdistämiseen asti, jolloin apuriohjelma kirjoittaa sen uudelleen.

Käytä jakelun tuettua integraatiota ja anna yhden komponentin omistaa ratkaisimen tila. Kaksi omistajaa synnyttää saman kilpailun kuin kaksi liitäntäosoitteen omistajaa, ja oireena on isäntä, joka ratkaisee oikein muutaman minuutin ajan jokaisen muutoksen jälkeen.

Sisäiset nimet ansaitsevat oman tarkistuksensa. Julkinen ratkaisin voi palauttaa yleisen selailun, kun taas jokainen yrityksen nimi epäonnistuu, mikä on päinvastoin kuin mihin tunneli oli tarkoitettu. Kysy sisäistä nimeä aiottuun palvelimeen ennen kuin päättelet, että DNS on korjattu.

Siivous on yhtä tärkeää kuin asennus

Laske liitäntä alas ja tutki ratkaisimen tilaa uudelleen. Apuriohjelma, joka palauttaa edellisen asetuksen, jättää isännän käyttökelpoiseksi; se, joka jättää omat palvelimensa taakseen, luo seuraavan vian, usein tunteja myöhemmin, kun tunneli on jo kaukana poissa.

Vanhentunut tila on helppo havaita, kun sitä alkaa etsiä. Ratkaisinluettelo voi osoittaa osoitteeseen liitännällä, jota ei enää ole, ja hakudomain voi säilyä verkosta, jonka jätit tänä aamuna. Kumpi tahansa tekee seuraavasta yhteydestä arvaamattoman, eikä kumpikaan näy tunnelin omassa tilatulosteessa. Tarkistus kestää kymmenen sekuntia ja säästää seuraavalta ihmiseltä tunnin.

Pidä diagnoosi erillään korjauksesta. Jos jokainen kohde epäonnistuu eikä vain nimikyselyt, reitit ja edelleenlähetys ovat epäiltyjä ja DNS-rivi on harhautus. wg-quick-käsikirja dokumentoi, mitä kenttiä se käsittelee ja mitkä kuuluvat protokollalle, ja tuo raja on koko vastaus useimpiin näistä raporteista.