Sjálfgefna leiðar lykkja WireGuard: finndu slóð endapunktsins

Viðmótið kemur upp, jafningjastillingin lítur rétt út og ekkert handaband klárast nokkurn tíma. Að bæta sjálfgefinni leið í gegnum gönguna er skrefið sem veldur þessu oft: sama leiðartaflan ræður nú hvert dulkóðuð pakka göngunnar eiga að fara, og svarið sem hún gefur fer aftur inn í gönguna. Ekkert getur borið ytri pakkann sem myndi bera þann innri, svo tengingin stöðvast áður en hún byrjar. Viðgerðin er lítil, en hún hefur röð, og staðfestingin skiptir meira máli en breytingin.

Staðfestu lykkjuna áður en þú breytir leið

Lestu núverandi endapunkt heimilisfang jafningsins og spurðu síðan leiðarstakkinn hvert pakki á það heimilisfang myndi fara. Ef svarið nefnir viðmót göngunnar er lykkjan staðfest og engrar frekari greiningar er þörf. Geymdu bæði úttökin í breytingaskránni áður en þú snertir nokkuð, því samanburðurinn eftir viðgerðina eru sömu tvær skipanirnar. Lykkja er ekki fínleg þegar hún hefur sést; erfiðleikinn er að viðmótið lítur heilbrigt út meðan þetta gerist.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Láttu stefnureglurnar fylgja með í þeirri skráningu. Sjálfgefna leið sem lítur rétt út í aðaltöflunni getur samt tapað fyrir reglu sem velur aðra töflu fyrir merktan eða ómerktan umferð, og lykkjan mun birtast aftur með leiðartöflu sem lítur vel út.

Lestu slóð endapunktsins, ekki slóð göngunnar

Slóð endapunktsins er leiðin sem dulkóðuðu daggrömin fara að opinberu heimilisfangi jafningsins, og hún verður að vera utan göngunnar svo lengi sem gangan er til. Slóð göngunnar er allt sem jafningnum er leyft að bera. Þessar tvær slóðir deila einni leiðartöflu, og einmitt þess vegna getur ein færsla sem grípur allt hrunið þeim saman. Að aðskilja umferð göngunnar frá eigin flutningi göngunnar er allt hönnunarvandamálið, og hvert stutt tól leysir það einhvers staðar aðeins öðruvísi.

Athugaðu báðar heimilisfangafjölskyldur sérstaklega ef viðmótið ber báðar. Virk IPv4-undanskáning segir ekkert um hvort IPv6-endapunkturinn sé enn aðgengilegur, og blönduð stilling getur virst virka þar til heimilisfang IPv6 jafningsins er valið.

Endurheimtu slóð endapunktsins með einni samfelldri breytingu

Tvær studdar nálganir eru til, og að blanda þeim er hvernig virk uppsetning verður ófyrirsjáanleg. Sú fyrsta er að láta tólið sem á viðmótið sjá um alla gönguna: wg-quick hefur sérstaka meðferð fyrir sjálfgefið jafningjasvið sem setur upp aðra töflu, stefnureglur og sokkatáknið, sem heldur ytri pökkunum utan göngunnar. Láttu þá vélbúnað vera ósnortinn í stað þess að endurgera helminginn af henni í höndunum. Uppsetning sem blandar sjálfgefnu sem bætt er við í höndunum við stjórnanda sem setur þegar upp tákn og reglur hefur tilhneigingu til að mistakast eftir endurtengingu, þegar stjórnandinn endurskrifar stöðu sem handvirka skrefið gerði ráð fyrir.

Sú önnur er handvirk hönnun þar sem endapunkturinn fær skýra hýsilleið í gegnum líkamlega gáttina. Bættu þeirri leið við fyrir sjálfgefnu leiðina, skiptu út í stað þess að bæta við svo gömul færsla geti ekki unnið, og staðfestu uppflettinguna eftir á.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Staðfestu, og hafðu síðan leið til baka

Handabandstímastimpill sem færist áfram er fyrsta sönnunin, og hann er sterkari en viðmót sem er einfaldlega til. Fylgdu honum eftir með forritaprófun í gegnum gönguna, farðu síðan viljandi með viðmótið niður og staðfestu að hýsillinn fari aftur í nothæft ástand í stað þess að halda sjálfgefinni leið sem bendir á ekkert. Það síðasta skref er það sem fólk sleppir, og það ræður því hvort endurræsing skilur vélina eftir án tengingar.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Fyrir allt þetta skaltu geyma núverandi leiðarstöðu og ganga úr skugga um að til sé inngönguleið sem er ekki háð göngunni: stjórnborð, stjórnunarvistfang utan bands eða kollegi á staðnum. Fjartæk vél sem missir sjálfgefnu leiðina sína er ekki endurheimtanleg í gegnum tenginguna sem hún missti rétt í þessu, og öruggasta skrefið í runbookinu er það sem tekið er fyrir fyrstu skipunina.