WireGuard AllowedIPs: leiðin sem NetworkManager bætti aldrei við

Handabandsteljarinn uppfærist, viðmótið heldur vistfangi sínu, og ping til hinnar hliðar kemst hvergi. Þessi samsetning ruglar fólki því virkt handaband virðist vera sönnun þess að göngin séu tilbúin. Það er það ekki: göng geta verið að fullu samin og hafa samt enga leið sem beinir umferð inn í þau, og þetta eru tvö aðskilin verk sem tveir aðskildir hlutar stöðunnar vinna. Lagfæringin fer algjörlega eftir því hvort þeirra vantar, svo fyrsta skrefið er að komast að því.

wg-quick vinnur bæði án þess að nokkur biðji um það. Innbyggð WireGuard-stuðningur NetworkManager setur einnig upp peer-leiðir sjálfgefið, sem þrengir gruninn að óvirku vali, annarri beiningartöflu eða stillingu sem flutt var inn með einhverju öðru.

Staðfestu göngin áður en þú eltir leiðina

wg show prentar viðmótið, peerinn, endapunktinn og aldur síðasta handabands, og ip addr show staðfestir að vistfangið sé til staðar. Nýlegt handaband þýðir að lyklarnir, endapunkturinn og UDP-leiðin virka. Allt sem er bilað situr neðar: beining, síun eða nafnaupplausn.

Spyrðu kjarnann síðan hvað hann myndi gera við raunverulegan áfangastað í stað tilgátu: ip route get 10.42.7.9. Svarið nefnir útviðmótið og upprunavistfangið sem pakkinn myndi bera. Þegar það nefnir líkamlega millistykkið fer pakkinn aldrei inn í göngin, hversu heilbrigt sem handabandið virðist.

AllowedIPs er sía og leiðalisti

Forskeytin í AllowedIPs vinna tvö verk. Þau velja hvaða peer ber útáfangastað, og þau staðfesta upprunavistfang innkomandi pakka, sem er mörk dulritunarlyklabeiningar. Í wg-quick stýra þau einnig sjálfvirkri uppsetningu leiða, og það aukaatferli er ástæðan fyrir því að sama stillingin virkar frá skjáhermi en ekki frá skjáborðsforriti.

Í málinu á bak við þessa grein var sniðinu flutt inn með viðbót frá þriðja aðila en ekki með innbyggða stuðningnum, og viðmótið kom upp án forskeytisleiðarinnar. Upptalning taflanna sýnir það strax: ip route show inniheldur aðeins tengdu leiðina fyrir vistfang viðmótsins og ekkert fyrir fjarlæga bilið.

Spyrðu hvort peer-leiðir séu yfir höfuð virkar

Lestu stillinguna áður en þú breytir einhverju: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Þegar peer-routes sýnir no er studd lagfæring nmcli connection modify work-wg wireguard.peer-routes yes og síðan endurtenging. Að bæta kyrrri leið við í staðinn virkar þar til næsta virkjunar og hverfur svo hljóðlega. Sú hvarf er vísbendingin: leið sem kemur aftur sem ráðgáta á hverjum morgni er ekki sett upp af sniðinu.

Ef valið er þegar virkt skaltu athuga hvort forskeytið lifi í annarri töflu með ip route show table all | grep 10. Leið í töflu sem er ekki aðaltaflan er ekki týnd, hún er einfaldlega ósýnileg leit sem horfir eingöngu á aðaltöfluna. Lagaðu stefnubeininguna í stað þess að stafla tvíteknu færslu ofan á.

Bættu forskeytinu við tenginguna, ekki við gangandi kerfið

Í tengingaritlinum heldur WireGuard-síðan peerinum og AllowedIPs hans, og IPv4-síðan heldur viðbótarleiðum. Leið sem bætt er við þar lifir endurtengingar því hún tilheyrir sniðinu. Á skipanalínunni er jafngildið að bæta leið við tenginguna í forminu með auðri gátt og taka hana síðan niður og upp svo breytingin virki.

Veldu þrengsta forskeytið sem nær yfir hýslana sem þú þarft. Að afrita dæmið /8 frá þjónustuveitandanum getur gleypt staðbundin bil sem liggja tilviljunarkennt innan þess, og bilanimar sem af því leiða líta út eins og bilað göng frekar en of breið leið.

Skipt göng ráðast af forskeytalistanum

Enginn rofi er fyrir skipt göng; forskeytalistinn er ákvörðunin. Peer með eitt bil fyrir skrifstofu-LAN og annað fyrir rannsóknarstofunet sendir nákvæmlega þá áfangastaði í gegnum göngin og lætur allt annað í friði. Eitt hýsil þarf /32, og skarast bil á tveimur stöðum þurfa hýsilforskeyti þar til einhver endurnúmerar undirnet.

Að velja að senda ekkert í gegnum göngin rekur sömu ákvörðun til ögurstu: lágmarkslisti heldur tengingunni uppi á meðan venjuleg umferð heldur sér á sínum venjulega slóða. Skrifaðu niður ætlunina, því annars tekur næsti lesandi stutta listann sem yfirsjón og framlengir hann hjálpsamlega.

Einn eigandi að beiningartöflunni

wg-quick og NetworkManager telja bæði að þau eigi leiðir viðmótsins. Flyttu inn stillingu skrifaða fyrir wg-quick og ræstu síðan líka wg-quick þjónustuna, og þú færð tvíteknar eða misvísandi færslur þar sem hegðunin fer eftir því hver rann síðast. Veldu einn eiganda og fjarlægðu hinn: ef NetworkManager stýrir tengingunni skaltu slökkva á wg-quick einingunni fyrir það viðmót, og bættu aldrei við annarri stillingu fyrir sama tæki.

Þegar skiptingin verður að fylgja líkamlegu millistykki í stað áfangastaðar hefur þú færst yfir í stefnubeiningu, og stefnubeining þarf líka einn höfund. Staðfestu með því að endurtaka ip route get og ná síðan hýsli innan fjarlæga forskeytisins með einhverju sem prentar upprunavistfangið sem það valdi. Athugaðu IPv6 og DNS sérstaklega ef sniðið ber annaðhvort.