WireGuard-peer giet oer de ferkearde WAN fuort: fiif kontrôles yn folchoarder

Twa uplinks, ien poarte en in WireGuard-peer waans ferkear hieltyd wer op de rêchliny opdûkt. De hânskud bliuwt de hiele tiid sûn. Dêrom is it symptoom maklik ferkeard te lêzen as in WireGuard-flater ynstee fan in routeringsflater.

Doch de kontrôles hjirûnder yn folchoarder. Elk hat in stopbetingst, en foarút springe jout ornaris in selsfoldien ferkeard antwurd.

Skied it hânskud fan de trochstjoerde stream

De fersifere peer-útwikseling hat in einpuntroete nei it iepenbiere adres fan de tsjinner. Trochstjoerd kliïntferkear hat in oar bestimming en kin troch markearrings of beliedsregels keazen wurde. It binne twa routeringsbesluten dy’t ien ynterface diele. Ien as bewiis oer de oare behannelje is de earste flater.

Stop sa gau as jo josels derop betrape dat jo út it hânskud wei redendiele. It is allinnich bewiis oer it einpuntpaad.

Lês de beliedsregel, net de standerttabel

In standerttabel lit sjen wat der bart as gjin inkele beliedsregel past. Op in poarte dy’t routeret op boarne, markearring of bestimming, wennet de beslissende regel earne oars. De gewoane tabel kin folslein ridlik lykje wylst de echte kar dêrboppe makke wurdt.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Lês de beliedsregels en de tabellen dêr’t se nei wize. Befêstigje dan hokker regel by jo teststream past. In regel dy’t ferwiist nei in ynterface dy’t de bedoelde uplink net mear draacht, is in fynst, net in detail. De rûtesyktocht oan ’e ein lit it antwurd folle flugger sjen as in tabel lêze en te rieden.

Kontrolearje de markearring en de oersetting tegearre

Beliedsrouting stipet op in pakketmarkearring dy’t earder yn ’e keatling set is. As de markearringsregel jo ferkear mist, falt de stream troch nei de haadtabel en giet fuort troch wat dêr standert is. Trochstjoerde pakketten slaan gauris keatlings oer dy’t skreaun binne foar lokaal generearre ferkear.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

De oersetting moat oerienkomme mei de uplink dy’t de stream draacht. In regel dy’t oerset nei it primêre adres wylst it pakket oer de rêchliny fuortgiet, produsearret antwurden rjochte oan in ynterface dy’t de stream nea brûkt hat. Kontrolearje de eigen ynterfacebetingst fan ’e oersettingsregel. In betingstleaze regel wurket oant de twadde uplink brûkt wurdt, en mislearret dan op in wize dy’t ûnregelmjittich liket.

Sjoch hokker ynterface it antwurd draacht

Fange op beide uplinks wylst ien oanfraach rint. Notearje hokker ynterface de oanfraach en hokker it antwurd draacht. Asymmetryske paden binne folle makliker te sjen as te foarsizzen.

As it antwurd oer de ferkearde uplink oankomt, is it probleem fan WireGuard nei ferbiningstracking of oersetting ferhuze. Gjin feroaring oan ’e peer-konfiguraasje sil dat oplosse.

Feroarje ien ding mei in paad werom

Hâld konsol- of bûtenbân-tagong foar’t jo beliedsregels op in poarte bewurkje. Meitsje ien feroaring, test itselde autorisearre bestimming, ferbine dan opnij en befêstigje dat it hânskud noch altyd it bedoelde einpuntpaad brûkt. Foegje in numerike test ta op ’e twadde adresfamylje, want in belied allinnich foar v4 lit deselde flater beskikber.

Notearje hokker uplink elke stream brûkt hat. Dat oersjoch makket it folgjende rapport in kontrôle fan twa minuten ynstee fan in hiele middei. de notysjes fan WireGuard oer nammeromten en routing beskriuwe hoe’t jo it einpuntpaad bewust fan tunnelisearre ferkear skiede, wat meastentiids skjinner is as in omwei mei standertrûte kopiearje.