WireGuard: gjin rûte nei it tsjinpart nei in subnetwiziging — twa útwegen

De hânskodding is farsk yn wg show, it einpunt is goed, de kaaien binne nea feroare — en ping seit noch altyd dat der gjin rûte nei it tsjinpart is. Do feroarest it tunnel-subnet in oere lyn. Dat symptoom is de hantekening fan in foarheaksel-misoanpassing en net fan in kaaiprobleem: WireGuard makke de hânskodding klear en smiet doe de gegevens fuort, om't in boarneadres net mear oerienkomt mei wat it ûntfangende tsjinpart akseptearje sil. Der binne twa ferstannige manieren om in subnetwiziging te lânjen, en se mislearje op ferskate plakken.

Twa manieren om de wiziging te lânjen, en wat elk kostet

Opsje A is opnij nûmerje op itselde plak: bewurkje it adres fan de ynterface, de berikten fan de tsjinparten, de rûtes en elke kopy fan de konfiguraasje, en laad dan opnij. Opsje B is in twadde ynterface op it nije foarheaksel njonken de âlde bouwe, de tsjinparten oerbringen en de âlde ynterface fuorthelje sadree't it ferkear echt ferhuze is.

It heal tapaste steat is wat opsje A gefaarlik makket, om't it der net brutsen útsjocht. De ynterface komt omheech, de hânskodding slagget, en allinnich it gegevenspaad mislearret. Opsje B kostet mear wurk, mar hâldt in wurkjend paad libben wylst do elke ferwizing fynst.

Wat by dy op 'e side tegearre bewege moat

Fjouwer dingen op de lokale host beskriuwe itselde subnet, en in wiziging fan ien is in wiziging fan allegear: it adres fan de ynterface, de AllowedIPs fan elke tsjinpart, de rûte dy't it systeem foar dy bestimmings brûkt, en wat de behearder ek foar dy ynstallearret. Mei wg-quick wurde de lêste twa by elk omheech kommen fan de ynterface út de konfiguraasje makke, dus in ferâldere kopy set it âlde foarheaksel stil werom.

Ferlykje wat konfigurearre is mei wat libben is, ynstee fan ien fan beide te fertrouwen:

wg show
wg showconf wg0
ip addr show wg0
ip route get 10.90.0.5

It rûtesykjen is de stap dy't minsken oerslaan. It antwurdet wat de kearn foar in bestimmingsplak echt dwaan soe, ynklusyf in mear spesifike rûte dy't in behearder of in konteneromjouwing efterlitten hat. As it in oare ynterface as de tunnel neamt, is de konfiguraasje net it probleem.

Foar in rinnende ynterface: pas it bewurke bestân ta sûnder de tunnel ôf te brekken:

wg syncconf wg0 <(wg-quick strip wg0)

Dat fernijt tsjinparten en berikten op itselde plak. It fernijt it adres fan de ynterface of de rûtes net, om't dat gjin WireGuard-ynstellings binne — dus in opnij nûmering hat noch hieltyd nedich dat de ynterface opnij makke wurdt of it adres mei ip feroare wurdt, en dan moat it rûtsjen wer kontrolearre wurde.

Wat oan 'e fierre kant tegearre bewege moat

Hjir stjert in subnetwiziging meastentiids. AllowedIPs is net allinnich in rûte-oanwizing; it is ek de list fan boarneadressen dy't in tsjinpart presintearje mei. As do klanten opnij nûmerest en de AllowedIPs fan de tsjinner op it âlde foarheaksel litst, akseptearret de tsjinner de hânskodding, ûntfangt de fersifere pakketten en smyt se fuort, om't de ynterne boarne net oerienkomt mei ien berik dat er mei dat tsjinpart ferbynt. Der wurdt gjin flater logd, en de klant sjocht in tiidferstriken.

Fernij dus de ûntfangende kant mei opset: de tsjinpartynfier op de tsjinner moat it nije klantfoarheaksel neame, de eigen weromrûte fan de tsjinner moat foar dat foarheaksel nei de tunnel wize, en elk streamôf netwurk efter de tsjinner moat it nije paad leare. Brânmuorrebelied dat it âlde berik neamde hat deselde behanneling nedich, en itselde jildt foar alles wat seleksje op basis fan boarne docht.

De diagnostyk dy't de twa flaters skiedt is goedkeap. In resinte hânskodding sûnder gegevens betsjut dat de tunnel omheech is en dat de ynterne adressearring it net iens is. Hielendal gjin hânskodding betsjut dat do nei berikberens of kaaien sjochst. Rotaasje kaaien net foar in foarheakselprobleem; dat set it iennige werom dat wurke.

Ferâldere kopyen dy't dyn bewurking oerlibje

In bestân bewurkje is net itselde as it rinnende systeem feroarje, en de kopyen binne mear as minsken ferwachtsje: de unit of behearder dy't de ynterface hat, in twadde profyl mei deselde namme yn in oare map, in kontener mei syn konfiguraasje yn in ôfbylding bakt, in router-ynterface mei syn eigen bewurke ferzje en in klantapp dy't by it starten in bewarre tunnel opnij ymportearret. Elk fan har kin it âlde foarheaksel werombringe nei't dyn wiziging klear liket.

Nammen reizgje ek. As de numerike rûte wurket mar de hostnamme mislearret, wizet in ynterne DNS-registraasje of in tsjinstkonfiguraasje noch hieltyd nei it âlde tunneladres. Reparaasje de ferwizing ynstee fan elk berik fan tsjinparten te ferbreedzjen, want dat soe it echte probleem bedekke en tagelyk de boarne-ACL grutter meitsje.

Hâld ien herstelpaad iepen wylst do wurkest: in twadde manier om op de host te kommen, in searje-konsoal of in plande weromrôl fan de konfiguraasjebestannen. In tunnelwiziging dy't dy bûten de masine slút dy't do feroarest is de meast foarkommende manier wêrop dizze taak in jûn wurdt.

Kieze tusken de twa, en de wiksel ferifiearje

Kies A as do elke tsjinpart hast, it oantal lyts is en in koarte ûnderbrekking akseptabel is. Kies B as tsjinparten fiere hannen binne dy't do net kontrolearrest, as in ferbining tusken lokaasjes oerein bliuwe moat, of as do net garandearje kinst dat elke kopy yn ien trochgong fernijd wurdt. Foegje yn dat gefal it nije foarheaksel oan beide ynterfaces ta, ferpleats tsjinparten ien foar ien, sjoch nei it ferkear op de nije en ferwiderje pas dan de âlde ynterface en syn rûtes.

Under beide opsjes is de wiziging dien as fjouwer kontrôles slagje: de hânskodding is resint, it rûtesykjen foar in bestimmingsplak mei it nije foarheaksel neamt de tunnel, in lading fan in pear hûndert byte giet yn beide rjochtingen oer, en itselde jildt nei in werstart fan de host of de behearder. It wg(8)-hânlieding is de referinsje foar wat AllowedIPs yn elke rjochting betsjut, en it is de muoite wurdich om it wer te lêzen foardat do in berik ferbreedzjest om in symptoom ferdwine te litten.

• Hânskodding resint en gjin gegevens: sjoch nei de AllowedIPs by de ûntfanger foardat do kaaien oanrekest.
• Rûtesykjen wiist nei de ferkearde ynterface: in behearder of kontener hat de rûte, net dyn bestân.
• Numerike adres goed en hostnamme brutsen: in âlde ferwizing, gjin rûtsjen-lus.
• Wiziging is pas klear as in werstart noch hieltyd it nije foarheaksel brûkt.