WireGuard AllowedIPs: જે રૂટ NetworkManager એ ક્યારેય ઉમેર્યો નહીં

હેન્ડશેક કાઉન્ટર અપડેટ થાય છે, ઇન્ટરફેસ પોતાનું સરનામું રાખે છે, અને સામેની બાજુ જતું ping ક્યાંય પહોંચતું નથી. આ સંયોજન લોકોને મૂંઝવે છે, કારણ કે કામ કરતો હેન્ડશેક ટનલ તૈયાર હોવાનો પુરાવો લાગે છે. એવું નથી: ટનલ સંપૂર્ણ વાટાઘાટ થયેલી હોવા છતાં તેમાં ટ્રાફિક મોકલતો કોઈ રૂટ ન હોઈ શકે, અને આ બે અલગ કામ છે જે બે અલગ સ્થિતિના ભાગ કરે છે. સુધારો સંપૂર્ણપણે એના પર આધાર રાખે છે કે બેમાંથી કયું ખૂટે છે, તેથી પહેલું પગલું એ શોધવાનું છે.

wg-quick બંને કામ પૂછ્યા વિના કરે છે. NetworkManagerનું અંતર્નિર્મિત WireGuard સમર્થન પણ મૂળભૂત રીતે peer રૂટ સ્થાપિત કરે છે, જે શંકાસ્પદોને બંધ વિકલ્પ, બીજા રૂટિંગ કોષ્ટક કે બીજા કંઈક દ્વારા આયાત કરેલી રૂપરેખાંકન સુધી મર્યાદિત કરે છે.

રૂટ પાછળ પડતાં પહેલાં ટનલની પુષ્ટિ કરો

wg show ઇન્ટરફેસ, peer, અંતિમ બિંદુ અને છેલ્લા હેન્ડશેકની ઉંમર છાપે છે, અને ip addr show સરનામું હાજર હોવાની પુષ્ટિ કરે છે. તાજેતરનો હેન્ડશેક એટલે કી, અંતિમ બિંદુ અને UDP માર્ગ કામ કરે છે. જે પણ તૂટેલું છે તે એમની નીચે બેસે છે: રૂટિંગ, ફિલ્ટરિંગ કે નામ ઉકેલ.

પછી કર્નલને પૂછો કે કાલ્પનિકને બદલે વાસ્તવિક ગંતવ્ય સાથે તે શું કરશે: ip route get 10.42.7.9. જવાબ આઉટગોઇંગ ઇન્ટરફેસ અને પેકેટ લઈ જનારું સ્રોત સરનામું જણાવે છે. જ્યારે તે ભૌતિક એડેપ્ટર જણાવે છે, ત્યારે પેકેટ કદી ટનલમાં પ્રવેશતું નથી, હેન્ડશેક કેટલો પણ સ્વસ્થ લાગે.

AllowedIPs એ ફિલ્ટર અને રૂટ યાદી છે

AllowedIPsમાંના ઉપસર્ગો બે કામ કરે છે. તે નક્કી કરે છે કે કયો peer આઉટગોઇંગ ગંતવ્ય લઈ જશે, અને તે આવતા પેકેટના સ્રોત સરનામાની ચકાસણી કરે છે, જે ક્રિપ્ટોકી રૂટિંગની સીમા છે. wg-quickમાં તે સ્વયં ચાલતા રૂટ સ્થાપનને પણ ચલાવે છે, અને એ જ વધારાનું વર્તન એ કારણ છે કે એક જ રૂપરેખાંકન ટર્મિનલથી કામ કરે છે અને ડેસ્કટોપ ક્લાયન્ટથી નહીં.

આ લેખ પાછળના કિસ્સામાં પ્રોફાઇલ અંતર્નિર્મિત સમર્થનને બદલે તૃતીય-પક્ષ પ્લગઇન દ્વારા આયાત થયું હતું, અને ઇન્ટરફેસ ઉપસર્ગ રૂટ વિના ઉપર આવ્યું. કોષ્ટકની યાદી તરત જ તે દર્શાવે છે: ip route show ફક્ત ઇન્ટરફેસ સરનામાનો જોડાયેલો રૂટ ધરાવે છે, દૂરના શ્રેણી માટે કંઈ નથી.

પૂછો કે peer રૂટ બિલકુલ સક્ષમ છે કે નહીં

કંઈપણ બદલતાં પહેલાં સેટિંગ વાંચો: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. જ્યારે peer-routes no દર્શાવે છે, ત્યારે સમર્થિત સુધારો nmcli connection modify work-wg wireguard.peer-routes yes છે, અને પછી ફરી જોડાવું. તેના બદલે સ્થિર રૂટ ઉમેરવો આગલી સક્રિયકરણ સુધી કામ કરે છે અને પછી ચૂપચાપ અદૃશ્ય થઈ જાય છે. એ અદૃશ્યતા જ સંકેત છે: દર સવારે કોયડારૂપે પાછો આવતો રૂટ પ્રોફાઇલ સ્થાપિત કરતું નથી.

જો વિકલ્પ પહેલેથી સક્ષમ હોય, તો ip route show table all | grep 10 વડે તપાસો કે ઉપસર્ગ બીજા કોષ્ટકમાં રહે છે કે નહીં. મુખ્ય કોષ્ટક ન હોય તેવા કોષ્ટકનો રૂટ ખૂટતો નથી, તે ફક્ત એવી શોધ માટે અદૃશ્ય છે જે ફક્ત મુખ્ય કોષ્ટકને જુએ છે. ઉપર નકલી પ્રવેશ થર કરવાને બદલે નીતિ રૂટિંગ સુધારો.

ઉપસર્ગને ચાલતી સિસ્ટમમાં નહીં, કનેક્શનમાં ઉમેરો

કનેક્શન એડિટરમાં WireGuard પૃષ્ઠ peer અને તેની AllowedIPs રાખે છે, અને IPv4 પૃષ્ઠ વધારાના રૂટ રાખે છે. ત્યાં ઉમેરેલો રૂટ ફરી જોડાવા પર ટકી રહે છે કારણ કે તે પ્રોફાઇલનો છે. કમાન્ડ લાઇન પર સમકક્ષ એ છે કે ખાલી-ગેટવે સ્વરૂપે કનેક્શનમાં રૂટ જોડવો, અને પછી ફેરફાર લાગુ થાય તે માટે કનેક્શન નીચે અને ઉપર કરવું.

તમને જરૂરી હોસ્ટને આવરી લેતો સૌથી સાંકડો ઉપસર્ગ પસંદ કરો. પ્રદાતાનું ઉદાહરણ /8 નકલ કરવાથી તેની અંદર આવતા સ્થાનિક શ્રેણીઓ ગળી શકાય છે, અને પરિણામી નિષ્ફળતાઓ વધુ પહોળા રૂટને બદલે તૂટેલી ટનલ જેવી લાગે છે.

વિભાજિત ટનલિંગ ઉપસર્ગ યાદી દ્વારા નક્કી થાય છે

વિભાજિત ટનલ માટે કોઈ સ્વિચ નથી; ઉપસર્ગ યાદી જ નિર્ણય છે. ઓફિસ LAN માટે એક શ્રેણી અને લેબ નેટવર્ક માટે એક શ્રેણી ધરાવતો peer બરાબર એ જ ગંતવ્યો ટનલ દ્વારા મોકલે છે અને બાકીનું બધું એકલું છોડી દે છે. એક હોસ્ટને /32 જોઈએ, અને બે સ્થળોએ અતિક્રમણ કરતી શ્રેણીઓને હોસ્ટ ઉપસર્ગ જોઈએ જ્યાં સુધી કોઈ સબનેટનું ફરી ક્રમાંકન ન કરે.

ટનલ દ્વારા કંઈ ન મોકલવાનું પસંદ કરવું એ જ નિર્ણયને તેની હદ સુધી લઈ જાય છે: ન્યૂનતમ યાદી લિંક ઉપર રાખે છે જ્યારે સામાન્ય ટ્રાફિક પોતાના સામાન્ય માર્ગે ચાલુ રહે છે. ઇરાદો લખી રાખો, નહીં તો આગલો વાચક ટૂંકી યાદીને ભૂલ ગણીને મદદરૂપ થવા તેને લંબાવશે.

રૂટ કોષ્ટક માટે એક માલિક

wg-quick અને NetworkManager બંને માને છે કે ઇન્ટરફેસના રૂટ એમના છે. wg-quick માટે લખાયેલી રૂપરેખાંકન આયાત કરો અને પછી wg-quick સેવા પણ શરૂ કરો, તો તમને નકલી કે પરસ્પર વિરોધી પ્રવેશ મળશે જેમનું વર્તન એના પર આધાર રાખે છે કે કઈ છેલ્લે ચાલી. એક માલિક પસંદ કરો અને બીજાને દૂર કરો: જો NetworkManager કનેક્શન સંભાળે છે, તો તે ઇન્ટરફેસ માટે wg-quick એકમ બંધ કરો, અને એ જ ઉપકરણ માટે કદી બીજી પ્રોફાઇલ ઉમેરશો નહીં.

જ્યારે વિભાજનને ગંતવ્યને બદલે ભૌતિક એડેપ્ટર અનુસરવું પડે, ત્યારે તમે નીતિ રૂટિંગમાં આવી ગયા છો, અને નીતિ રૂટિંગને પણ એક જ લેખક જોઈએ. ip route get આદેશનું પુનરાવર્તન કરીને ચકાસો, પછી દૂરના ઉપસર્ગની અંદરના હોસ્ટ સુધી એવી વસ્તુ સાથે પહોંચો જે તેનું પસંદ કરેલું સ્રોત સરનામું છાપે. જો પ્રોફાઇલમાં હોય તો IPv6 અને DNS અલગથી તપાસો.