wg-quick rompe o DNS ao conectar: lea o erro de configuración

O túnel sobe, o saúdo complétase e a resolución de nomes detense. Nada da configuración de pares cambiou, porque a liña DNS nunca formou parte desa configuración. Pertence ao axudante de configuración, o que significa que o fallo vive nas ferramentas do resolutor do host e non nas claves de WireGuard.

Lea a primeira mensaxe que imprimiu o axudante, non a última, e a diferenza entre unha utilidade ausente e un servidor inalcanzable vólvese obvia.

A liña DNS é unha función do axudante

Os campos básicos da configuración describen pares, claves e enderezos permitidos. A resolución engádese por riba polo script que levanta a interface, e cada implementación faino de xeito distinto. Un cliente de escritorio pode xestionar o DNS co seu propio servizo, un script de distribución pode chamar unha de varias utilidades de resolutor, e un contedor pode non facer ningunha das dúas. O ficheiro de configuración non pode dicirlle cal deses camiños está en xogo.

Por iso un ficheiro de configuración pode ser válido para o protocolo e aínda así fallar durante a configuración: o fallo pertence a un gancho que o protocolo nunca ve.

Escribir un campo estendido nunha configuración básica e esperar que a ferramenta do protocolo o acepte produce a mesma confusión desde a dirección oposta. Os dous analizadores len ficheiros distintos.

Saber cal dos dous se executa é o primeiro paso de diagnóstico, e normalmente vese no comando que escribiu, non no ficheiro de configuración.

Lea o primeiro erro que imprime o axudante

Levante a interface en primeiro plano e lea a saída por orde. Unha utilidade de resolutor ausente, un gancho fallido e un servidor inalcanzable deteñen o mesmo comando en puntos distintos, e cada un ten unha reparación diferente.

wg-quick up wg0
resolvectl status wg0
ip route get 10.66.0.1

O primeiro comando informa do progreso da configuración, o segundo mostra que servidores reclama agora a interface, e o terceiro mostra se o enderezo do resolutor é realmente alcanzable a través do túnel. Un resolutor configurado pero non encamiñable produce tempos de espera en lugar de erros de configuración, por iso as dúas comprobacións van xuntas. Ler só a saída de estado produce unha conclusión segura e equivocada.

Se a configuración rematou e a resolución de nomes segue fallando, compare o resolutor que instalou o axudante co que a rede usaba antes. Un resolutor privado necesita unha ruta a través do túnel, e unha configuración que o lista sen cubrir o seu prefixo deixa cada consulta esperando.

Que resolutor ten realmente o host

Os hosts Linux modernos adoitan executar un resolutor stub local, así que o enderezo que instala o axudante consúmeo ese stub e non as aplicacións directamente. Editar a man un ficheiro xerado pode parecer que funciona ata a seguinte reconexión, cando o axudante o reescribe.

Use a integración admitida para a distribución e deixe que un único compoñente sexa dono do estado do resolutor. Dous donos producen a mesma carreira que dous donos dun enderezo de interface, e o síntoma é un host que resolve ben durante uns minutos despois de cada cambio.

Os nomes internos merecen a súa propia comprobación. Un resolutor público pode restaurar a navegación xeral mentres fai fallar todos os nomes corporativos, que é o contrario daquilo para o que servía o túnel. Consulte o nome interno no servidor previsto antes de concluír que o DNS está arranxado.

A limpeza importa tanto como a configuración

Baixe a interface e inspeccione de novo o estado do resolutor. Un axudante que restaura a configuración anterior deixa o host utilizábel; un que deixa os seus propios servidores atrás crea o seguinte fallo, a miúdo horas despois, cando o túnel xa non está.

O estado obsoleto é fácil de ver cando un o busca. Unha lista de resolutores pode apuntar a un enderezo nunha interface que xa non existe, e un dominio de busca pode sobrevivir a unha rede que deixou esta mañá. Calquera dos dous fai que a próxima conexión se comporte de forma imprevisible, e ningún aparece na saída de estado do propio túnel. A comprobación tarda dez segundos e aforra unha hora á seguinte persoa.

Manteña o diagnóstico separado da reparación. Se falla todo destino, non só as consultas de nomes, as rutas e o reenvío son os sospeitosos e a liña DNS é unha distracción. O manual de wg-quick documenta que campos xestiona e cales pertencen ao protocolo, e esa fronteira é toda a resposta á maioría destes informes.