Festingrað WireGuard: miðstökkið getur ekki svarað eigin gátt

Þrjú WireGuard stökk ná til nets sem hefur ekkert opinbert vistfang, og þá hættir miðvélinn að svara á þeirri gátt sem hún átti að hlusta á. Göngin áfram virka enn, fjarlægi vistfangið svarar enn, og aðeins miðþjónninn sjálfur hefur orðið hljóður að utan. Þessi samsetning er ruglingsleg einmitt vegna þess að hún er sjálfsköpuð: miðstökkið hlýðir eigin leiðarvísitöflu, og taflan sendir svörin þess í ranga átt.

Keðja sem virkar þar til þú talar við miðkassann

Tökum skýringardæmi um keðju: biðlari A nær þjóninum B á UDP 500, og B heldur áfram til þjónsins C á UDP 500. C tekur aðeins við umferð frá vistfangi eina jafningja síns, sem gerir það að laufblaði og heldur hegðun þess einfaldri. B er ekki laufblað, og allt áhugavert við þessa bilun gerist þar.

Greiningin skiptir máli vegna þess að laufblaðs- og miðhlutverkin toga í gagnstæðar áttir. Laufblað getur sent allt inn í eitt göng án afleiðinga, því ekkert annað er háð því. Miðstökk er samtímis endapunktur fyrir biðlara og biðlari í átt að fjarlægu hliðinni, og þessi tvö verk vilja ólíka leiðavali.

Hvers vegna svarið fer út um göngin

Á B ber viðmótið sem snýr að C AllowedIPs = 0.0.0.0/0 ásamt samsvarandi sjálfgefinni leið. Því fer hver pakki sem B býr til inn í þau göng, nema eitthvað nákvæmara hafi forgang.

Pakki frá A sem er stílaður á B berst og er samþykktur, því B er áfangastaðurinn og staðbundin afhending gerist fyrst. Svarið er glænýr staðbundinn pakki sem er stílaður á opinbert vistfang A, og sá áfangastaður passar við sjálfgefnu leiðina inn í göngin. C tekur við honum, á ekki þetta vistfang og hendir honum.

Einkennin lesast eins og eldveggsvandamál eða lyklamisræmi, og hvorugt er satt hér. Upptaka á göngunum í átt að C sýnir svörin fara í ranga átt. Þessi eina athugun sparar meiri tíma en hversu mikið sem er af lestri stillinga, svo skrifaðu hana niður áður en þú byrjar að skipta lyklum. Hver sem hefur ekki séð upptökuna mun gera ráð fyrir að göngin sjálf séu biluð.

Þröng viðgerð: stefnureglur sem passa við upprunagátt

Svör frá hlustunarsokk B fara út með upprunagátt 500. Stefna getur passað við það og beint þessum pökkum aftur í venjulegu töfluna:

ip rule add sport 500 table main priority 100
ip rule add sport 8080 table main priority 101

Stefnureglur eru skoðaðar í forgangsröð, og aðaltaflan er á 32766, svo regla á 100 er spurð áður en sjálfgefna leið ganganna fær að segja sitt. Bættu við einni færslu fyrir hverja gátt sem verður að vera aðgengileg að utan og engu fleira, svo framsend umferð haldi áfram að nota göngin sem hún var byggð fyrir.

Þekktu mörk þessarar brellu. Veljarinn sport passar við staðbundna pakka, sem nær nákvæmlega yfir svaratilfellið og nær viljandi ekki yfir umferð sem B framsendir bara fyrir einhvern annan. Þjónusta sem er hýst á bak við B þarf enn sitt eigið svar, og að þykjast öðruvísi framleiðir viðgerð sem virkar fyrir fyrstu þjónustuna og bregst fyrir aðra.

Gefðu reglunni eiganda

Regla sem er skrifuð í skipanalínu hverfur næst þegar viðmótið er endurbyggt. Í WireGuard uppsetningu skaltu setja hana þar sem viðmótið er búið til og fjarlægt:

PostUp = ip rule add sport 500 table main priority 100
PostDown = ip rule del sport 500 table main priority 100

Ef NetworkManager, dreifingarkrókur eða inngangspunktur gáma á viðmótið, tilheyrir parið þeim eiganda frekar en handbreyttri skrá. Athugaðu gildandi reglur eftir endurtengingu, ekki bara eftir fyrstu ræsingu, því fyrsta ræsing er tilfellið sem virkar alltaf.

Berðu saman valkostina heiðarlega

Upprunagáttarreglan er ein af fjórum útgönguleiðum, og sú þröngsta þeirra. Hún hefur þann kost að snerta ekki stefnu ganganna á nokkurn hátt, og þess vegna lifir hún yfirleitt síðari breytingar. Þröngar viðgerðir mistakast líka hátt þegar þær hætta að gilda, á meðan breið undantekning heldur áfram að virka hljóðlega löngu eftir að ástæðan fyrir henni hvarf. Sá munur skiptir meira máli en fágun þegar einhver annar á kassann eftir tvö ár.

Staðfestu frá báðum endum þegar þú hefur valið. Frá A skaltu hefja tengingu við gátt B og halda henni upptekinni um stund. Á B skaltu láta kjarnann réttlæta svarleiðina með einhverju eins og ip route get <address-of-A> sport 500, og staðfesta að hún nefnir WAN-viðmótið en ekki göngin. Eftir það skaltu athuga að eitthvað á bak við C svari enn í gegnum keðjuna, sem sannar að undantekningin hélst þröng í stað þess að verða hjáleið. Að lokum skaltu skrá gáttirnar í hönnunarnóturnar, annars enduruppgötvar næsti rekstraraðili þetta á annarri þjónustu.