A wg-quick elrontja a DNS-t csatlakozáskor: olvassa el a beállítási hibát

Az alagút feljön, a kézfogás befejeződik, és a névfeloldás leáll. Semmi nem változott a peer-konfigurációban, mert a DNS-sor soha nem volt része a peer-konfigurációnak. A beállítósegédhez tartozik, ami azt jelenti, hogy a hiba a gazdagép feloldóeszközeiben él, nem a WireGuard kulcsaiban.

Olvassa el a segéd által kiírt első üzenetet, nem az utolsót, és nyilvánvalóvá válik a különbség egy hiányzó eszköz és egy elérhetetlen kiszolgáló között.

A DNS-sor a segéd funkciója

A konfiguráció alapelemei a peer-eket, a kulcsokat és az engedélyezett címeket írják le. A névfeloldást felülről az a szkript adja hozzá, amelyik felhozza az interfészt, és minden megvalósítás másképp teszi. Egy asztali kliens a saját szolgáltatásán keresztül kezelheti a DNS-t, egy disztribúciós szkript meghívhatja a több feloldóeszköz egyikét, egy konténer pedig egyiket sem. A konfigurációs fájl nem tudja megmondani, melyik út van játékban.

Ezért lehet egy konfigurációs fájl érvényes a protokoll számára, és mégis meghiúsulhat a beállítás során: a hiba egy olyan horoghoz tartozik, amelyet a protokoll soha nem lát.

Ha egy kiterjesztett mezőt írunk egy alapkonfigurációba, és elvárjuk, hogy a protokoll eszköze elfogadja, ugyanaz a zavar keletkezik az ellenkező irányból. A két elemző különböző fájlokat olvas.

Annak tudása, melyik fut, az első diagnosztikai lépés, és ez általában a beírt parancsban látszik, nem a konfigurációs fájlban.

Olvassa el az első hibát, amelyet a segéd kiír

Hozza fel az interfészt előtérben, és olvassa a kimenetet sorrendben. Egy hiányzó feloldóeszköz, egy meghiúsult horog és egy elérhetetlen kiszolgáló mind ugyanazt a parancsot állítja le különböző pontokon, és mindegyiknek más a javítása.

wg-quick up wg0
resolvectl status wg0
ip route get 10.66.0.1

Az első parancs a beállítás előrehaladásáról számol be, a második megmutatja, mely kiszolgálókat követeli most az interfész, a harmadik pedig azt, hogy a feloldó címe valóban elérhető-e az alagúton keresztül. Az a feloldó, amely be van állítva, de nem irányítható, időtúllépéseket produkál konfigurációs hibák helyett, ezért tartozik a két ellenőrzés össze. Ha csak az állapotkimenetet olvassa, magabiztos és téves következtetésre jut.

Ha a beállítás befejeződött, és a névfeloldás továbbra is meghiúsul, hasonlítsa össze a segéd által telepített feloldót azzal, amelyet a hálózat korábban használt. Egy privát feloldónak útvonalra van szüksége az alagúton keresztül, és az a konfiguráció, amely felsorolja anélkül, hogy lefedné az előtagját, minden lekérdezést várakozásban hagy.

Melyik feloldó van valójában a gazdagépen

A modern Linux-gazdagépek gyakran helyi stub-feloldót futtatnak, így a segéd által telepített címet az a stub fogyasztja, nem pedig közvetlenül az alkalmazások. Egy generált fájl kézi szerkesztése addig tűnhet működőnek, amíg a következő újracsatlakozás meg nem történik, amikor a segéd újraírja.

Használja a disztribúció által támogatott integrációt, és hagyja, hogy egyetlen összetevő birtokolja a feloldó állapotát. Két tulajdonos ugyanazt a versenyt eredményezi, mint egy interfészcím két tulajdonosa, és a tünet egy olyan gazdagép, amely minden változás után néhány percig helyesen old fel.

A belső nevek saját ellenőrzést érdemelnek. Egy nyilvános feloldó helyreállíthatja az általános böngészést, miközben minden vállalati nevet meghiúsít, ami az ellenkezője annak, amire az alagút szolgált. Kérdezze meg a szándékolt kiszolgálót a belső névről, mielőtt arra a következtetésre jut, hogy a DNS rendben van.

A tisztítás ugyanolyan fontos, mint a beállítás

Vegye le az interfészt, és vizsgálja meg újra a feloldó állapotát. Az a segéd, amely visszaállítja az előző konfigurációt, használhatóvá teszi a gazdagépet; az, amelyik a saját kiszolgálóit hagyja maga után, létrehozza a következő hibát, gyakran órákkal később, amikor az alagút már régen nincs.

Az elavult állapot könnyen észrevehető, ha valaki elkezdi keresni. Egy feloldólista olyan interfész címére mutathat, amely már nem létezik, és egy keresési tartomány túlélheti a ma reggel elhagyott hálózatot. Bármelyikük kiszámíthatatlanná teszi a következő kapcsolatot, és egyik sem jelenik meg az alagút saját állapotkimenetében. Az ellenőrzés tíz másodpercet vesz igénybe, és egy órát takarít meg a következő embernek.

Tartsa a diagnózist a javítástól elkülönítve. Ha minden cél meghiúsul, nem csak a névkeresések, akkor az útvonalak és a továbbítás a gyanúsítottak, a DNS-sor pedig elterelés. A wg-quick kézikönyve dokumentálja, mely mezőket kezeli, és melyek tartoznak a protokollhoz, és ez a határ a legtöbb ilyen jelentés teljes válasza.