WireGuard PersistentKeepalive: coinnigh mapáil NAT beo
Mura n-oibríonn an nasc droim ar ais ach go díreach tar éis don phiara trácht a sheoladh, tá an mhapáil ag dul in éag. Socraigh keepalive taobh thiar den ródaire, ansin léigh an teorainn ama iarbhír.
Osclaíonn bosca an tí an tollán agus sroicheann sé an freastalaí scamall gan stró. Is féidir leis an bhfreastalaí scamall an aip tí a shroicheadh ar feadh nóiméid nó dhá cheann tar éis don bhosca tí rud éigin a sheoladh den uair dheireanach, agus stopann sé ansin. Ní thaispeántar aon rud sa logchomhad WireGuard, ní thuairiscítear aon earráid chroitheadh láimhe, agus ceartaíonn ath-thosú an tolláin é go gairid. Is mapáil atá ag dul in éag an patrún sin, ní tollán briste, agus deimhníonn an rúnleabhar thíos é sula ndéantar aon rud a athrú.
Deimhnigh gurb é an patrún ná éag mar gheall ar neamhghníomhaíocht
Is é an mhionsonra idirdhealaitheach an t-am. Má oibríonn an nasc droim ar ais go díreach tar éis don phiara tí trácht a sheoladh agus má theipeann sé tar éis eatramh ciúin, tá an cosán ceart agus níl an staid sa lár. Mura n-oibrigh sé riamh, fiú go díreach tar éis trácht, is diagnóis mhícheart é seo.
sudo wg show wg0 latest-handshakes
sudo wg show wg0 endpoints
sudo wg show wg0 transferRith an chéad dá cheann go díreach tar éis don phiara tí rud éigin a sheoladh, fan cúig nóiméad, agus rith iad arís. Insíonn stampa ama croitheadh láimhe a athnuaitear de réir sceideal gan aon chríochphointe nua duit go bhfuil an tollán beo. Is é an rud a d’athraigh ná cumas paicéid neamhiarrtha teacht ón taobh amuigh, rud atá ina shaintréith den chosán seachas den tollán.
Ansin déan iarracht droim ar ais agus féach ar na cuntair aistrithe. Má sheolann taobh an scamall bearta agus mura bhfaigheann taobh an tí aon cheann, d’fhág an paicéad an scamall agus fuair sé bás i bhfeiste a choinníonn staid ar an mbealach. Sin an síniú atá á lorg agat. Má ghluaiseann an dá chuntar, sheachaid an tollán an paicéad agus is í an aip an t-amhrasach.
Cuir an keepalive ar an phiara taobh thiar den ródaire
Coinníonn keepalives leanúnacha mapáil NAT agus aon staid balla dóiteáin beo trí phaicéad beag fíordheimhnithe a sheoladh de réir sceideal. Baineann an socrú leis an meaisín taobh thiar den ródaire, ina iontráil don phiara iargúlta, mar is é sin an taobh a chruthaíonn a phaicéad amach an staid.
[Peer]
PublicKey = <cloud peer public key>
AllowedIPs = 10.71.0.1/32
PersistentKeepalive = 25Cumaisc isteach sa rannán piara atá ann cheana. Ní bealach bailí chun roghanna a chur leis é bloc eile a chur leis an eochair phoiblí chéanna, agus ní chumascfaidh wg-quick iad ar do shon. Is sampla iad na 25 soicind atá doiciméadaithe a roghnaíodh chun fanacht faoi theorainneacha ama UDP coitianta, ní luach a bhfuil aon bhrí speisialta leis.
Ní chabhraíonn an treoir chéanna a chur ar thaobh an scamall leis an bhfadhb seo. Tagann paicéid an phiara sin ó sheoladh poiblí cheana féin, mar sin níl aon mhapáil le caomhnú sa treo a bhfuil tábhacht leis. Cuireann sé trácht leis agus ní athraíonn sé aon rud.
Léigh na hamadóirí in ionad eatramh a thomhas
Oibríonn keepalives mar tagann siad níos minice ná mar a théann an staid in éag. Déanann sé sin an teorainn ama ina uimhir atá de dhíth ort i ndáiríre, agus ar Linux tá sé inléite ar an bhfeiste a dhéanann an t-aistriú:
sysctl net.netfilter.nf_conntrack_udp_timeout
sysctl net.netfilter.nf_conntrack_udp_timeout_stream
sudo conntrack -L -p udp --dport 51820Is é an chéad luach an teorainn ama do shreabhadh UDP nár breathnaíodh ach i dtreo amháin, agus tá an dara ceann i bhfeidhm nuair a bhreathnaítear freagraí. Bíonn an dá cheann gairid de ghnáth, agus leanfaidh mapáil a théann ina thost an ceann a bhaineann le do shreabhadh.
Cuir an uimhir sin i gcomparáid le d’eatramh. Oibríonn keepalive de 25 soicind faoi theorainn ama de 30 soicind; ní oibríonn an keepalive céanna faoi theorainn ama de 15 soicind. Ní athraíonn aon mhéid athiarrachta an uimhríocht sin. Úsáideann roinnt ródairí tomhaltóra agus oibreoirí móibíleacha luachanna i bhfad níos giorra ná réamhshocrú Linux, agus sin an fáth a dteipeann ar chumraíocht a oibríonn ar líonra amháin ar líonra eile.
| Observation | What it means | Reasonable response |
|---|---|---|
| Works after traffic, dies when idle | Mapping or firewall state expiring | Lower the keepalive interval |
| Never works, even immediately | No return route, listener or firewall | Stop tuning keepalive |
| Works for hours, then dies once | Carrier-side translation or address change | Check the endpoint and logs together |
Seiceáil an t-éisteoir agus an balla dóiteáin ar leithligh
Tá mapáil bheo riachtanach agus ní leor í. Caithfidh an aip ar bhosca an tí a bheith ag éisteacht ar an seoladh ceart, agus caithfidh balla dóiteáin an óstaí an paicéad a cheadú tar éis é a dhíchriptiú.
sudo ss -lntup | grep 8080
sudo wg show wg0 allowed-ips
curl -sS -m 5 http://10.71.0.2:8080/healthMá tá an soicéad ceangailte leis an seoladh comhéadain fhisiciúil amháin seachas le seoladh an tolláin, scartar paicéid a thagann ar an tollán sula gcuirtear ceist ar an mballa dóiteáin ar chor ar bith. Féachann an teip sin ó thaobh an scamall go díreach mar fhadhb mhapála, agus maireann sé gach coigeartú keepalive.
Tá seiceáil an liosta ceadaithe chomh tábhachtach céanna sa treo eile. Caithfidh piara an scamall seoladh tollán an tí a cheadú mar fhoinse má tá sé chun freagra a thabhairt, agus caithfidh piara an tí seoladh an scamall a cheadú mar cheann scríbe. Is trácht fíordheimhnithe iad paicéid keepalive agus cuireann siad na rialacha céanna i bhfeidhm, agus sin an fáth a bhféadfadh keepalive a oibríonn de réir dealraimh comhbheith ann le haip nach n-oibríonn.
Cuir an t-athrú i bhfeidhm agus biodh a theoraimeacha ar eolas agat
Cuir an socrú i bhfeidhm, atosaigh an comhéadan más é sin do mhodh nuashonraithe, agus ansin déan an tástáil neamhghníomhaíochta a athrá in ionad na tástála láithrí. Fan níos faide ná an teorainn ama a léigh tú níos luaithe, déan iarraidh droim ar ais agus deimhnigh gur ghluaiseann na cuntair ag an dá cheann.
Scríobh an t-eatramh agus an teorainn ama a thomhais tú ina aice. Féadfaidh athrú amach anseo ar fhirmware an ródaire, nó bogadh chuig nasc móibíleach, an teorainn ama a athrú. Is í an nóta an rud a ligeann do dhuine an luach a athdhíorthú in ionad é a chóipeáil. Sábhálann dhá uimhir ar líne imscrúdú iomlán níos déanaí.
Cosnaíonn keepalives leanúnacha staid. Ní osclaíonn siad port, ní chuireann siad iontráil leis an liosta ceadaithe, agus ní thugann siad ar éisteoir teacht chun solais. Nuair nach n-oibríonn an nasc droim ar ais ar chor ar bith, tá an locht ar cheann de na trí rud sin, agus déanann tús gasta WireGuard cur síos ar an socrú keepalive sna téarmaí cúnga céanna.