WireGuard-standertrûte-lus: fyn it paad fan it einpunt

De ynterface komt omheech, de konfiguraasje fan ’e partner sjocht der goed út, en gjin hânskodding wurdt ea foltôge. In standertrûte troch de tunnel tafoegje is de stap dy’t dat faak feroarsaket: deselde rûtetabel beslút no wêr’t de eigen fersifere pakketten fan ’e tunnel hinne moatte, en it antwurd dat it jout giet werom de tunnel yn. Neat kin it bûtenste pakket drage dat it binnenste drage soe, dus de ferbining stiet stil foardat er begjint. De reparaasje is lyts, mar hy hat in folchoarder, en de ferifikaasje is wichtiger as de wiziging.

Befêstigje de lus foardat jo in rûte feroarje

Lês it hjoeddeistige einpuntadres fan ’e partner en freegje dan de rûtestapel wêr’t in pakket nei dat adres hinne gean soe. As it antwurd de tunnelinterface neamt, is de lus befêstige en is fierdere diagnoaze net nedich. Bewarje beide útkomsten yn it feroaringsregister foardat jo eat oanreitsje, want de fergeliking nei de reparaasje binne deselde twa opdrachten. In lus is net subtyl as er ienris sjoen is; de swierrichheid is dat de ynterface sûn liket wylst it bart.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Nim de beliedsregels op yn dy opname. In standertrûte dy’t yn ’e haadtabel goed liket, kin noch altyd ferlieze fan in regel dy’t in oare tabel kiest foar markearre of net markearre ferkear, en de lus sil wer ferskine mei in rûtetabel dy’t goed liket.

Lês it paad fan it einpunt, net it paad fan ’e tunnel

It paad fan it einpunt is de rûte dy’t de fersifere datagrammen nimme nei it iepenbiere adres fan ’e partner, en it moat bûten de tunnel bliuwe salang’t de tunnel bestiet. It paad fan ’e tunnel is alles wat de partner drage mei. Dy twa paden diele ien rûtetabel, en dêrom kin ien alles fangende yngong se yn inoar ynstoarte litte. It ferkear fan ’e tunnel skiede fan it eigen ferfier fan ’e tunnel is it hiele ûntwerpprobleem, en elk stipe helpmiddel lost it earne wat oars op.

Kontrolearje beide adresfamyljes apart as de ynterface beide draacht. In wurkjende IPv4-útsluting seit neat oer de fraach oft it IPv6-einpunt noch berikber is, en in mingde konfiguraasje kin wurkje lykje oant it IPv6-adres fan ’e partner keazen wurdt.

Herstel it paad fan it einpunt mei ien gearhingjende wiziging

Der binne twa stipe oanpakken, en se minge is hoe’t in wurkjende ynstallaasje ûnfoarsisber wurdt. De earste is it helpmiddel dat de ynterface besit de hiele tunnel beheare te litten: wg-quick hat in aparte behanneling foar in standert partnerberik dat in aparte tabel, beliedsregels en in socketmark ynstallearret, wat de bûtenste pakketten bûten de tunnel hâldt. Lit dy masjinerie yntakt, ynstee fan ’e helte derfan mei de hân nei te meitsjen. In ynstallaasje dy’t in mei de hân tafoege standert mingt mei in behearder dy’t al marken en regels ynstallearret, hat de oanstriid om nei it werferbinen te mislearjen, as de behearder tastân oerskriuwt dy’t de hânmjittige stap oannaam.

De twadde is in hânmjittich ûntwerp wêrby’t it einpunt in eksplisite hostrûte fia de fysike gateway krijt. Foegje dy rûte ta foar de standert, ferfang ynstee fan ta te foegjen sadat in ferâldere yngong net winne kin, en befêstigje de opfrege dêrnei.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Ferifiearje, en hâld dan in wei werom

In hânskoddingstiidstimpel dy’t foarút giet is it earste bewiis, en it is sterker as in ynterface dat gewoan bestiet. Folgje it mei in applikaasjetest troch de tunnel, bring dan de ynterface mei opsetsin del en befêstigje dat de host weromkomt yn in brûkbere tastân ynstee fan in standertrûte te hâlden dy’t nei neat wiist. Dy lêste stap is dejinge dy’t minsken oerslaan, en it is dejinge dy’t beslút oft in werstart de masine efterlitte sil.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Bewarje foar dit alles de hjoeddeistige rûtetastân en soargje derfoar dat der in ynfierwei is dy’t net fan ’e tunnel ôfhinget: in console, in bûtenbânbehearadres of in kollega op it plak. In masine op ôfstân dy’t syn standertrûte ferliest, is net te herstellen oer de ferbining dy’t er krekt ferlern hat, en de feilichste runbook-stap is dejinge dy’t foar it earste kommando nommen wurdt.