A WireGuard-társ a rossz WAN felé lép ki: öt ellenőrzés sorrendben

Két feltöltő csatorna, egy átjáró és egy WireGuard-társ, amelynek forgalma újra és újra a tartalék vonalon bukkan fel. A kézfogás végig egészséges marad. Ezért a tünet könnyen félreolvasható WireGuard-hibaként ahelyett, hogy útválasztási hibaként kezelnénk.

Végezze el az alábbi ellenőrzéseket sorrendben. Mindegyiknek van leállási feltétele, és az előreszaladás általában magabiztos hibás választ ad.

Válassza szét a kézfogást a továbbított folyamtól

A titkosított társ-csere végpontútvonallal rendelkezik a kiszolgáló nyilvános címéhez. A továbbított kliensforgalomnak más a célja, és jelölések vagy házirend-szabályok választhatják ki. Ez két útválasztási döntés, amely egy interfészt oszt meg. Az egyiket a másikra vonatkozó bizonyítékként kezelni az első hiba.

Álljon meg, amint azon kapja magát, hogy a kézfogásból következtet. Az csak a végpontútvonalról szóló bizonyíték.

A házirend-szabályt olvassa, ne az alapértelmezett táblát

Az alapértelmezett tábla azt mutatja, mi történik, ha egyetlen házirend-szabály sem illeszkedik. Azon az átjárón, amely forrás, jelölés vagy cél szerint útválaszt, a döntő szabály máshol él. Az egyszerű tábla teljesen ésszerűnek tűnhet, miközben a valódi választás felette születik.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Olvassa el a házirend-szabályokat és azokat a táblákat, amelyekre mutatnak. Ezután erősítse meg, melyik szabály illik a tesztfolyamához. Az a szabály, amely olyan interfészre hivatkozik, amely már nem hordozza a szándékolt feltöltő csatornát, lelet, nem részlet. A végén lévő útvonalkeresés sokkal gyorsabban megmutatja a választ, mint egy tábla olvasása és találgatás.

Ellenőrizze a jelölést és a fordítást együtt

A házirend-útválasztás a láncban korábban beállított csomagjelölésre támaszkodik. Ha a jelölőszabály kihagyja a forgalmát, a folyam átcsúszik a fő táblába, és azon keresztül távozik, ami ott alapértelmezett. A továbbított csomagok gyakran kihagyják a helyben előállított forgalomra írt láncokat.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

A fordításnak egyeznie kell a folyamot hordozó feltöltő csatornával. Az a szabály, amely az elsődleges címre fordít, miközben a csomag a tartalék vonalon távozik, olyan interfészre címzett válaszokat állít elő, amelyet a folyam soha nem használt. Ellenőrizze a fordítási szabály saját interfészfeltételét. A feltétel nélküli szabály addig működik, amíg nem használják a második feltöltő csatornát, aztán olyan módon hibázik, amely szakaszosnak tűnik.

Figyelje, melyik interfész hordozza a választ

Rögzítsen mindkét feltöltő csatornán, miközben egy kérés fut. Jegyezze fel, melyik interfész hordozza a kérést és melyik a választ. Az aszimmetrikus útvonalakat sokkal könnyebb látni, mint megjósolni.

Ha a válasz a rossz feltöltő csatornán érkezik, a probléma átkerült a WireGuardtól a kapcsolatkövetéshez vagy a fordításhoz. A társ konfigurációjának semmilyen módosítása nem javítja meg.

Változtasson egy dolgot visszaúttal

Tartson konzol- vagy sávon kívüli hozzáférést, mielőtt házirend-szabályokat szerkeszt egy átjárón. Végezzen egy változtatást, tesztelje ugyanazt az engedélyezett célt, majd csatlakozzon újra, és erősítse meg, hogy a kézfogás továbbra is a szándékolt végpontútvonalat használja. Adjon hozzá numerikus tesztet a második címcsaládra, mert a csak v4-re vonatkozó házirend ugyanazt a hibát hagyja elérhetően.

Jegyezze fel, melyik feltöltő csatornát használta az egyes folyamok. Ez a feljegyzés a következő jelentést kétperces ellenőrzéssé teszi egy egész délután helyett. a WireGuard jegyzetei a névterekről és az útválasztásról leírják, hogyan lehet szándékosan elválasztani a végpontútvonalat az alagúton átvitt forgalomtól, ami általában tisztább, mint az alapértelmezett útvonalas kerülőút másolása.