wg-quick merusak DNS saat terhubung: baca kesalahan penyiapan

Tunel menyala, jabat tangan selesai, dan resolusi nama berhenti. Tidak ada yang berubah pada konfigurasi peer, karena baris DNS tidak pernah menjadi bagian dari konfigurasi peer. Baris itu milik pembantu penyiapan, yang berarti kegagalan hidup di perkakas resolver host, bukan di kunci WireGuard.

Baca pesan pertama yang dicetak pembantu, bukan yang terakhir, dan perbedaan antara utilitas yang hilang dan server yang tak terjangkau menjadi jelas.

Baris DNS adalah fitur pembantu

Bidang konfigurasi inti menjelaskan peer, kunci, dan alamat yang diizinkan. Resolusi nama ditambahkan di atasnya oleh skrip yang menaikkan antarmuka, dan setiap implementasi melakukannya dengan cara berbeda. Klien desktop dapat mengelola DNS melalui layanannya sendiri, skrip distribusi dapat memanggil salah satu dari beberapa utilitas resolver, dan kontainer mungkin tidak melakukan keduanya. Berkas konfigurasi tidak dapat memberi tahu Anda jalur mana yang sedang dipakai.

Itulah sebabnya berkas konfigurasi dapat sah untuk protokol dan tetap gagal saat penyiapan: kegagalan itu milik kait yang tidak pernah dilihat protokol.

Menulis bidang tambahan ke konfigurasi inti dan mengharapkan perkakas protokol menerimanya menghasilkan kebingungan yang sama dari arah sebaliknya. Kedua pengurai membaca berkas yang berbeda.

Mengetahui mana yang berjalan adalah langkah diagnostik pertama, dan biasanya terlihat pada perintah yang Anda ketik, bukan pada berkas konfigurasi.

Baca kesalahan pertama yang dicetak pembantu

Naikkan antarmuka di latar depan dan baca keluarannya secara berurutan. Utilitas resolver yang hilang, kait yang gagal, dan server yang tak terjangkau menghentikan perintah yang sama di titik berbeda, dan masing-masing punya perbaikan berbeda.

wg-quick up wg0
resolvectl status wg0
ip route get 10.66.0.1

Perintah pertama melaporkan kemajuan penyiapan, yang kedua menunjukkan server mana yang kini diklaim antarmuka, dan yang ketiga menunjukkan apakah alamat resolver benar-benar dapat dijangkau melalui tunel. Resolver yang dikonfigurasi tetapi tidak dapat dirutekan menghasilkan waktu tunggu alih-alih kesalahan konfigurasi, itulah sebabnya kedua pemeriksaan harus bersama. Membaca keluaran status saja menghasilkan kesimpulan yang yakin dan salah.

Jika penyiapan selesai dan resolusi nama masih gagal, bandingkan resolver yang dipasang pembantu dengan yang digunakan jaringan sebelumnya. Resolver privat memerlukan rute melalui tunel, dan konfigurasi yang mencantumkannya tanpa menutupi prefiksnya membuat setiap kueri menunggu.

Resolver mana yang sebenarnya dimiliki host

Host Linux modern sering menjalankan resolver stub lokal, sehingga alamat yang dipasang pembantu dikonsumsi oleh stub itu, bukan oleh aplikasi secara langsung. Menyunting berkas hasil pembangkitan dengan tangan bisa tampak berhasil sampai penyambungan ulang berikutnya, ketika pembantu menulisnya kembali.

Gunakan integrasi yang didukung untuk distribusi dan biarkan satu komponen memiliki keadaan resolver. Dua pemilik menghasilkan perlombaan yang sama seperti dua pemilik alamat antarmuka, dan gejalanya adalah host yang mengurai dengan benar selama beberapa menit setelah setiap perubahan.

Nama internal layak mendapat pemeriksaan sendiri. Resolver publik dapat memulihkan penjelajahan umum sambil membuat setiap nama korporat gagal, yang merupakan kebalikan dari tujuan tunel. Tanyakan nama internal ke server yang dimaksud sebelum menyimpulkan bahwa DNS sudah diperbaiki.

Pembersihan sama pentingnya dengan penyiapan

Turunkan antarmuka dan periksa keadaan resolver sekali lagi. Pembantu yang memulihkan konfigurasi sebelumnya membuat host tetap dapat dipakai; yang meninggalkan servernya sendiri menciptakan kegagalan berikutnya, sering beberapa jam kemudian ketika tunel sudah lama hilang.

Keadaan basi mudah terlihat begitu Anda mencarinya. Daftar resolver dapat menunjuk alamat pada antarmuka yang tidak ada lagi, dan domain pencarian dapat bertahan dari jaringan yang Anda tinggalkan pagi ini. Salah satu dari keduanya membuat koneksi berikutnya berperilaku tak terduga, dan tidak satu pun muncul di keluaran status tunel itu sendiri. Pemeriksaan memakan sepuluh detik dan menghemat satu jam bagi orang berikutnya.

Pisahkan diagnosis dari perbaikan. Jika setiap tujuan gagal, bukan hanya pencarian nama, rute dan penerusan adalah tersangkanya dan baris DNS adalah pengalih perhatian. panduan wg-quick mendokumentasikan bidang mana yang ditanganinya dan mana yang milik protokol, dan batas itulah seluruh jawaban bagi sebagian besar laporan ini.