WireGuard-ի լռելյայն երթուղու հանգույց. գտեք վերջնակետի ուղին

Միջերեսը բարձրանում է, գործընկերոջ կոնֆիգուրացիան ճիշտ է թվում, և ոչ մի ձեռքսեղմում երբեք չի ավարտվում։ Թունելով լռելյայն երթուղի ավելացնելը այն քայլն է, որ հաճախ առաջացնում է դա։ նույն երթուղիների աղյուսակը հիմա որոշում է, թե ուր պետք է գնան թունելի սեփական գաղտնագրված փաթեթները, և այն պատասխանը, որ այն տալիս է, վերադառնում է թունել։ Ոչինչ չի կարող տանել արտաքին փաթեթը, որը կտաներ ներքինը, ուստի կապը կանգ է առնում նախքան սկսվելը։ Ուղղումը փոքր է, բայց ունի հերթականություն, և ստուգումն ավելի կարևոր է, քան խմբագրումը։

Հաստատեք հանգույցը նախքան երթուղին փոխելը

Կարդացեք գործընկերոջ ընթացիկ վերջնակետի հասցեն և ապա հարցրեք երթուղորման կույտին, թե ուր կգնա այդ հասցեով փաթեթը։ Եթե պատասխանը նշում է թունելի միջերեսը, հանգույցը հաստատված է և հետագա ախտորոշում պետք չէ։ Պահեք երկու ելքերն էլ փոփոխությունների մատյանում նախքան որևէ բանի դիպչելը, որովհետև ուղղումից հետո համեմատությունը նույն երկու հրամաններն են։ Հանգույցը նուրբ չէ, երբ այն տեսնում ես։ դժվարությունն այն է, որ միջերեսը առողջ է թվում, մինչ դա տեղի է ունենում։

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Ներառեք քաղաքականության կանոնները այդ գրառման մեջ։ Լռելյայն երթուղին, որը հիմնական աղյուսակում ճիշտ է թվում, այնուամենայնիվ կարող է պարտվել մի կանոնի, որը նշված կամ չնշված երթևեկության համար այլ աղյուսակ է ընտրում, և հանգույցը նորից կհայտնվի թվացյալ կարգին երթուղիների աղյուսակի հետ։

Կարդացեք վերջնակետի ուղին, ոչ թե թունելի ուղին

Վերջնակետի ուղին այն երթուղին է, որով գաղտնագրված դատագրամները գնում են գործընկերոջ հանրային հասցեին, և այն պետք է մնա թունելից դուրս այնքան ժամանակ, քանի դեռ թունելը գոյություն ունի։ Թունելի ուղին այն ամենն է, ինչ գործընկերոջը թույլատրվում է տանել։ Այս երկու ուղիները կիսում են մեկ երթուղիների աղյուսակ, և հենց դրա համար է, որ մեկ ամեն ինչ ընդգրկող գրառումը կարող է դրանք տրորել մեկը մյուսի մեջ։ Թունելի երթևեկությունը թունելի սեփական տրանսպորտից անջատելը ամբողջ ձևավորման խնդիրն է, և յուրաքանչյուր աջակցվող գործիք այն լուծում է ինչ-որ տեղ մի փոքր այլ կերպ։

Ստուգեք երկու հասցեային ընտանիքներն առանձին, եթե միջերեսը տանում է երկուսն էլ։ Աշխատող IPv4 բացառումը ոչինչ չի ասում այն մասին, թե արդյոք IPv6 վերջնակետը դեռ հասանելի է, և խառը կոնֆիգուրացիան կարող է աշխատող թվալ այնքան ժամանակ, քանի դեռ չի ընտրվել գործընկերոջ IPv6 հասցեն։

Վերականգնեք վերջնակետի ուղին մեկ հետևողական փոփոխությամբ

Գոյություն ունեն երկու աջակցվող մոտեցում, և դրանք խառնելը այն ձևն է, որով աշխատող կարգավորումը դառնում է անկանխատեսելի։ Առաջինը միջերեսին տիրող գործիքին թույլ տալ կառավարել ամբողջ թունելը։ wg-quick ունի հատուկ մշակում լռելյայն գործընկերոջ միջակայքի համար, որը տեղադրում է առանձին աղյուսակ, քաղաքականության կանոններ և սոկետի նշան, ինչը արտաքին փաթեթները պահում է թունելից դուրս։ Թողեք այդ մեխանիզմը անձեռնմխելի, փոխարենը ձեռքով կրկնելու դրա կեսը։ Կարգավորումը, որը խառնում է ձեռքով ավելացված լռելյայնը արդեն նշաններ և կանոններ տեղադրող կառավարիչի հետ, հակված է ձախողվել վերամիացումից հետո, երբ կառավարիչը վերագրում է վիճակը, որը ձեռքով քայլը ենթադրել էր։

Երկրորդը ձեռքով ձևավորումն է, որտեղ վերջնակետը ֆիզիկական դարպասով ստանում է հստակ հոսթի երթուղի։ Ավելացրեք այդ երթուղին լռելյայնից առաջ, փոխարինեք, ոչ թե ավելացրեք, որպեսզի հնացած գրառումը չկարողանա հաղթել, և ապա հաստատեք որոնումը։

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Ստուգեք, ապա պահպանեք վերադարձի ուղին

Առաջ ընթացող ձեռքսեղմման ժամանակադրոշմը առաջին ապացույցն է, և այն ավելի ուժեղ է, քան պարզապես գոյություն ունեցող միջերեսը։ Հետևեք դրան թունելով անցնող հավելվածի փորձարկմամբ, ապա դիտավորյալ իջեցրեք միջերեսը և հաստատեք, որ հոսթը վերադառնում է օգտագործելի վիճակի, փոխարենը պահելով դատարկությանը ցույց տվող լռելյայն երթուղի։ Այդ վերջին քայլն են մարդիկ բաց թողնում, և հենց այն է որոշում, թե արդյոք վերագործարկումը մեքենային կթողնի առանց կապի։

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Այս ամենից առաջ պահեք ընթացիկ երթուղորման վիճակը և համոզվեք, որ կա մուտքի ուղի, որը կախված չէ թունելից՝ վահանակ, արտաբանդային կառավարման հասցե կամ տեղում գտնվող գործընկեր։ Հեռավոր մեքենան, որը կորցնում է իր լռելյայն երթուղին, հնարավոր չէ վերականգնել այն կապով, որը հենց նոր կորցրել է, և runbook-ի ամենաապահով քայլը այն է, որն արվում է առաջին հրամանից առաջ։