Como iniciar un túnel WireGuard como servizo de systemd

Tes un perfil de WireGuard en /etc/wireguard/wg0.conf e queres que estea activo sen escribir wg-quick up a man tras cada reinicio. O modelo systemd do paquete fai exactamente iso: [email protected] executa wg-quick para o perfil chamado wg0. Tamén instala enderezos, rutas, DNS e os ganchos que declare o perfil, o que é máis que cargar unha chave no núcleo. Comproba que o modelo existe no teu sistema antes de dar por feito que existe.

O resto deste percorrido segue a orde na que realmente o farías.

Atopa a unidade e o perfil que le

Lista os ficheiros de unidade con systemctl list-unit-files 'wg-quick*'. Nas distribucións que o empaquetan verás [email protected], co nome de instancia tomado do perfil. A instancia resólvese en /etc/wireguard/<name>.conf, así que wg-quick@wg0 le wg0.conf e nada máis. Se a lista está baleira, o paquete de ferramentas non está instalado e ningunha cantidade de habilitación axudará.

Mantén o perfil en modo 600 e propiedade de root. Contén unha chave privada, e a unidade executarase tan tranquila con peores permisos se llo permites.

Lévao arriba e le o diario

Inicia a instancia con systemctl start wg-quick@wg0, logo comproba systemctl status wg-quick@wg0 e journalctl -u wg-quick@wg0 -b. Unha unidade que arranca e sae de inmediato adoita ter un erro de perfil, e o diario nomea a liña. Confirma con wg show que a interface existe e que o último handshake é recente. O manual de wg-quick enumera o que fai o script máis alá da propia interface.

Unha interface configurada sen handshake é un problema de ruta ou de chave, non de servizo.

Deixa un só xestor ao mando

Se NetworkManager ou outro cliente xa posúe o túnel, iniciar a unidade systemd crea un segundo propietario para a mesma interface, rutas e DNS. Os síntomas son confusos: o túnel sobe, logo desaparecen as rutas, ou o DNS volve atrás aos poucos segundos. Escolle un xestor e desactiva o outro para ese perfil. O diario adoita mostrar a toma de control como cambios de ruta ou de resolutor xusto despois de que a unidade informe éxito.

Dous xestores non comparten a propiedade. Escriben un sobre o outro.

Proba parada, reinicio e arranque

Executa systemctl stop wg-quick@wg0 e confirma que a interface desapareceu e que as rutas se eliminaron. Despois vólveo iniciar e comproba que as rutas regresan, porque os erros de desmontaxe maniféstanse como rutas sobrantes e non como arranques fallidos. Por último habilítao no arranque con systemctl enable --now wg-quick@wg0 e reinicia unha vez.

No arranque o nome do extremo debe resolverse antes de que a unidade se execute. Se o DNS aínda non está activo, a unidade falla e segue fallida ata que a inicies a man.

Anota o propietario

Anota que perfil le a unidade, que xestor posúe a interface e de onde veu o ficheiro. Cando alguén importe máis tarde o mesmo túnel nun cliente de escritorio, esa nota é a diferenza entre unha migración e dous despregamentos loitando por un enderezo. Anota tamén o nome da interface, porque dous perfís con nomes parecidos son a fonte habitual de confusión.

Un túnel con dous propietarios funciona ata o primeiro reinicio, e entón é un misterio. Por iso a nota pertence ao repositorio e non a un fío de chat.