WireGuard alapértelmezett útvonal-hurok: találja meg a végpont útvonalát

A felület feljön, a partner konfigurációja helyesnek tűnik, és egyetlen kézfogás sem fejeződik be soha. Az alapértelmezett útvonal alagúton keresztüli hozzáadása az a lépés, amely ezt gyakran okozza: ugyanaz az útvonaltábla dönti el most, hova menjenek az alagút saját titkosított csomagjai, és az általa adott válasz visszavezet az alagútba. Semmi sem tudja szállítani a külső csomagot, amely a belsőt szállítaná, ezért a kapcsolat elakad, mielőtt elkezdődne. A javítás kicsi, de van sorrendje, és az ellenőrzés fontosabb, mint a szerkesztés.

Erősítse meg a hurkot, mielőtt útvonalat változtat

Olvassa el a partner jelenlegi végpontcímét, majd kérdezze meg az útválasztási vermet, hova menne egy csomag arra a címre. Ha a válasz az alagút felületét nevezi meg, a hurok megerősítve, és további diagnózisra nincs szükség. Mentse mindkét kimenetet a változási rekordba, mielőtt bármihez nyúlna, mert a javítás utáni összehasonlítás ugyanaz a két parancs. A hurok nem finom, ha egyszer látja az ember; a nehézség az, hogy a felület egészségesnek látszik, miközben ez történik.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Foglalja bele a házirend-szabályokat is ebbe a rögzítésbe. Egy alapértelmezett útvonal, amely a fő táblában helyesnek tűnik, még mindig veszíthet egy olyan szabállyal szemben, amely más táblát választ a megjelölt vagy jelöletlen forgalomhoz, és a hurok újra megjelenik egy rendben lévőnek tűnő útvonaltáblával.

A végpont útvonalát olvassa, ne az alagút útvonalát

A végpont útvonala az az útvonal, amelyen a titkosított adatgramok a partner nyilvános címére jutnak, és az alagúton kívül kell maradnia, amíg az alagút létezik. Az alagút útvonala mindaz, amit a partner szállíthat. Ez a két útvonal egy útvonaltáblát oszt meg, és pontosan ezért tud egyetlen mindent elkapó bejegyzés egymásba omlasztani őket. Az alagút forgalmának elválasztása az alagút saját szállításától az egész tervezési probléma, és minden támogatott eszköz valahol kicsit másképp oldja meg.

Ellenőrizze külön mindkét címcsaládot, ha a felület mindkettőt viszi. Egy működő IPv4-kizárás semmit sem mond arról, hogy az IPv6-végpont még elérhető-e, és egy vegyes konfiguráció működőnek tűnhet addig, amíg a partner IPv6-címe ki nem választódik.

Állítsa vissza a végpont útvonalát egyetlen összefüggő változtatással

Két támogatott megközelítés létezik, és ezek keverése az, ahogy egy működő beállítás kiszámíthatatlanná válik. Az első, hogy hagyjuk a felületet birtokló eszközt kezelni a teljes alagutat: wg-quick dedikált kezeléssel rendelkezik egy alapértelmezett partneri tartományhoz, amely külön táblát, házirend-szabályokat és socket-jelölést telepít, ami a külső csomagokat az alagúton kívül tartja. Hagyja érintetlenül ezt a gépezetet, ahelyett hogy a felét kézzel újraépítené. Az olyan beállítás, amely kézzel hozzáadott alapértelmezettet kever egy olyan kezelővel, amely már jelöléseket és szabályokat telepít, hajlamos meghibásodni újracsatlakozás után, amikor a kezelő átírja azt az állapotot, amelyet a kézi lépés feltételezett.

A második egy kézi tervezés, amelyben a végpont kifejezett gazdaútvonalat kap a fizikai átjárón keresztül. Adja hozzá ezt az útvonalat az alapértelmezett előtt, cserélje a hozzáfűzés helyett, hogy egy elavult bejegyzés ne nyerhessen, és utána erősítse meg a keresést.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Ellenőrizze, majd tartson meg egy visszautat

Az előrehaladó kézfogás-időbélyeg az első bizonyíték, és erősebb, mint egy felület, amely csupán létezik. Kövesse egy alkalmazásteszttel az alagúton keresztül, majd szándékosan vigye le a felületet, és erősítse meg, hogy a gazdagép használható állapotba tér vissza, ahelyett hogy egy semmire mutató alapértelmezett útvonalat tartana. Ezt az utolsó lépést szokták kihagyni, és ez dönti el, hogy egy újraindítás magára hagyja-e a gépet.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Mindezek előtt mentse a jelenlegi útválasztási állapotot, és győződjön meg arról, hogy van olyan bejárati út, amely nem függ az alagúttól: konzol, sávon kívüli felügyeleti cím vagy egy kolléga a helyszínen. Egy távoli gép, amely elveszíti az alapértelmezett útvonalát, nem állítható helyre azon a kapcsolaton keresztül, amelyet épp elveszített, és a runbook legbiztonságosabb lépése az, amelyet az első parancs előtt tesznek meg.