WireGuard AllowedIPs: de rûte dy’t NetworkManager nea tafoege

De hânskoddingsteller wurdt bywurke, de ynterface hâldt syn adres, en in ping nei de oare kant komt nearne. Dy kombinaasje ferbjusteret minsken, omdat in wurkjende hânskodding as bewiis fielt dat de tunnel klear is. Dat is it net: in tunnel kin folslein ûnderhannele wêze en dochs gjin rûte hawwe dy’t ferkear derhinne stjoert, en dat binne twa aparte taken dy’t troch twa aparte stikken steat dien wurde. De reparaasje hinget folslein ôf fan hokker fan de twa ûntbrekt, dus de earste stap is dat út te finen.

wg-quick docht beide sûnder dat immen it freget. De ynboude WireGuard-stipe fan NetworkManager ynstallearret ek by standert peer-rûtes, wat de fertochten beheint ta in útskeakele opsje, in oare rûtetabel of in konfiguraasje dy’t fia eat oars ymportearre is.

Befêstigje de tunnel foardat jo de rûte efterfolgje

wg show prints de ynterface, de peer, it einpunt en de âldens fan de lêste hânskodding, en ip addr show befêstiget dat it adres oanwêzich is. In resinte hânskodding betsjut dat de kaaien, it einpunt en it UDP-paad wurkje. Alles wat stikken is sit streamôf fan har: rûtering, filterjen of namme-oplossing.

Freegje dan de kernel wat er mei in echte bestimming dwaan soe ynstee fan in hypotetyske: ip route get 10.42.7.9. It antwurd neamt de útgongsynterface en it boarneadres dat it pakket drage soe. As it de fisikale adapter neamt, komt it pakket nea yn de tunnel, hoe sûn de hânskodding ek liket.

AllowedIPs is in filter en in rûtelist

De foarheaksels yn AllowedIPs dogge twa taken. Se kieze hokker peer in útgongbestimming draacht, en se falidearje it boarneadres fan ynkommende pakketten, dat is de grins fan kryptokaaierûtering. Yn wg-quick driuwe se ek automatyske rûte-ynstallaasje, en dat ekstra gedrach is de reden dat deselde konfiguraasje fan in terminal ôf wurket en net fan in buroblêdklant.

Yn it gefal efter dit artikel waard it profyl fia in tredde-partij-útwreiding ymportearre ynstee fan fia de ynboude stipe, en de ynterface kaam omheech sûnder de foarheakselrûte. It opneamen fan de tabel lit it daliks sjen: ip route show befettet allinnich de ferbûne rûte foar it adres fan de ynterface, en neat foar it fiere berik.

Freegje oft peer-rûtes hielendal ynskeakele binne

Lês de ynstelling foardat jo eat feroarje: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. As peer-routes no sjen lit, is de stipe reparaasje nmcli connection modify work-wg wireguard.peer-routes yes, folge troch in werferbining. In statyske rûte tafoegje ynstee wurket oant de folgjende aktivaasje en ferdwynt dan stil. Dat ferdwinen is it teken: in rûte dy’t elke moarn as in riedsel weromkomt, wurdt net troch it profyl ynstallearre.

As de opsje al ynskeakele is, kontrolearje dan mei ip route show table all | grep 10 oft it foarheaksel yn in oare tabel wennet. In rûte yn in tabel dy’t net de haadtabel is, ûntbrekt net, se is gewoan ûnsichtber foar in syktocht dy’t allinnich de haadtabel besjocht. Reparearje de beliedsrûtering ynstee fan in dûbele ynfier der boppe-op te steapeljen.

Foegje it foarheaksel ta oan de ferbining, net oan it rinnende systeem

Yn de ferbiningsbewurker hâldt de WireGuard-side de peer en syn AllowedIPs, en de IPv4-side hâldt ekstra rûtes. In rûte dy’t dêr tafoege wurdt, oerlibbet werferbiningen omdat se by it profyl heart. Op de kommandorigel is it ekwivalint in rûte oan de ferbining taheakje yn de foarm mei lege gateway, en dan de ferbining del en op te setten sadat de feroaring tapast wurdt.

Kies it smelste foarheaksel dat de hosts dekt dy’t jo nedich hawwe. It foarbyld /8 fan de oanbieder kopiearje kin lokale berikken opslokke dy’t der tafallich yn lizze, en de resultearjende flaters lykje op in stikken tunnel ynstee fan in te brede rûte.

Split-tunneling wurdt besletten troch de foarheakselflist

Der is gjin skeakel foar split-tunnel; de foarheakselflist is it beslút. In peer mei ien berik foar it kantoar-LAN en ien foar in laboratoariumnetwurk stjoert krekt dy bestimmingen troch de tunnel en lit al it oare gewurde. Ien inkele host hat in /32 nedich, en berikken dy’t op twa plakken oerlaapje hawwe hostfoarheaksels nedich oant immen in subnet opnij nûmeret.

Kieze om neat troch de tunnel te stjoeren bringt itselde beslút nei syn grins: in minimale list hâldt de keppeling omheech wylst gewoan ferkear syn gewoane paad folget. Skriuw de bedoeling op, want oars sil de folgjende lêzer de koarte list as in fersomming behannelje en har helpfeardich útwreidzje.

Ien eigner foar de rûtetabel

wg-quick en NetworkManager leauwe beide dat se de rûtes fan de ynterface besitte. Ymportearje in konfiguraasje skreaun foar wg-quick en start dan ek de wg-quick-tsjinst, en jo krije dûbele as tsjinstridige ynfieringen waans gedrach ôfhinget fan hokker as lêste rûn. Kies ien eigner en ferwiderje de oare: as NetworkManager de ferbining beheart, skeakelje dan de wg-quick-ienheid foar dy ynterface út, en foegje nea in twadde profyl ta foar itselde apparaat.

As de splitsing in fisikale adapter folgje moat ynstee fan in bestimming, binne jo oergean nei beliedsrûtering, en beliedsrûtering hat ek ien auteur nedich. Ferifiearje troch ip route get te werheljen en dan in host binnen it fiere foarheaksel te berikken mei eat dat it boarneadres prints dat it keas. Kontrolearje IPv6 en DNS apart as it profyl ien fan beide draacht.