WireGuard-handaband virkar, en skrifstofuundirnetið svarar ekki

Handabandið klárast, wg show greinir frá nýlegri yfirfærslu, og tunnusláð þjónsins svarar pingi. Hýsill á LAN-netinu þjónsins gerir það ekki. Þrjú skilyrði verða að gilda samtímis: biðlarinn verður að beina forskeyti LAN-netsins inn í tunnuna, þjónninn verður að senda pakkana áfram, og svarið þarf leið til baka. Þegar eitt af þremur vantar er einkennið það sama.

AllowedIPs er bæði aðgangslisti og beiningartafla

Á biðlaranum ræður listinn AllowedIPs bæði því hvað má senda til þess jafnings og hvaða leiðir WireGuard setur upp. Færsla jafnings sem telur aðeins upp tunnusláð þjónsins setur upp eina hýsilleið, svo LAN-áfangastaðir komast aldrei inn í tunnuna. Að bæta við LAN-forskeytinu er það fyrsta sem þarf að sannreyna, og það er líka sú breyting sem oftast vantar eftir afritaða stillingu. Jafningi sem er víkkaður út í sjálfgefna leið er önnur hönnun, og hún færir einnig internetumferð biðlarans.

Haltu hýsilleiðinni og LAN-forskeytinu sem aðskildum færslum. Ef skrifstofan hefur tvö undirnet tilheyra bæði listanum, og vantaða annað forskeytið veldur bilun sem virðist sértæk frekar en algjör.

[Peer]
PublicKey = <server public key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.66.0.1/32, 192.168.50.0/24

Framsending og þýðing eiga heima á þjóninum

Þjónninn þarf virka IP-framsendingu, framsendingarreglu sem tekur við umferð frá tunnunni og þýðingarreglu í átt að LAN-tenginu sínu. Þýðingin er það sem lætur hönnunina virka án þess að snerta hvern hýsil á skrifstofunetinu. Þá fara svörin aftur til þjónsins frekar en á slóð sem LAN-ið hefur aldrei heyrt um. Án hennar þarf hver hýsill leið að undirneti tunnunnar og eldveggsreglu sem leyfir hana, sem er sjaldan ásættanlegt á neti sem einhver annar stýrir.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Reglur sem bætt er við handvirkt hverfa við endurræsingu, svo festu þær við tengið með hook-skipunum í stillingu þjónsins. Reglusett sem lifir lengur en tengið sitt er leiðin sem vél endar á að þýða umferð fyrir tunnu sem er ekki lengur til.

Þegar LAN-ið flutti sig en reglan ekki

Skipti á beini sem endurnúmerar skrifstofuundirnetið er klassíska útgáfan af þessari bilun. Tunnan helst uppi, handabandið helst ferskt, og ekkert bak við þjóninn svarar, því þýðingarreglan nefnir enn gamla slóðina. Uppsetningarskriftur baka oft LAN-slóð þjónsins inn í POSTROUTING-reglu, og eftir endurnúmerun er sú slóð ekki á neinu tengi. Þá eru pakkarnir endurskrifaðir á áfangastað sem getur ekki svarað.

iptables -t nat -n -L POSTROUTING
ip -br addr show

Berðu saman hinar tvær úttakir. Þýðingarmarkmið sem birtist ekki í tengjalistanum er gallinn, og að laga hann er breyting á einni línu þegar þú hefur séð hann. Reglan getur lifað í mynduðu uniti frekar en í WireGuard-stillingunni, svo endurhladdu það unit eftir breytingu og staðfestu að næsta ræsing skrifi ekki yfir breytinguna þína.

Tvær staðsetningar bak við NAT þurfa fundarstað

Þegar hvorug hlið tekur við innkomandi tengingum er hagnýta svarið lítill hýsill með opinberri slóð og tveimur WireGuard-tengjum. Hver staðsetning tengist út, miðhýsillinn telur upp LAN hvers jafnings í sínu eigin AllowedIPs, og framsending ber pakka milli tveggja tunna. Ekkert í eldvegg hvorrar staðsetningar þarf að breytast, og þess vegna breiðist þessi hönnun auðveldlega út.

Beining milli staðsetninganna varðveitir upprunalegu frumheimildirnar og heldur því skráningu á hvern hýsil merkingarbæra. Þýðing á miðhýslinum er einfaldari þegar LAN-netin tvö skarast, en á kostnað þess að frumheimildin glatast í skránum. Ákveddu hvaða eiginleiki skiptir máli áður en þú velur.

Aðgreindu lögin með fjórum athugunum

Gerðu eina athugun á hvert lag í stað þess að breyta þremur hlutum og vona. Sú fyrsta sýnir aldur handabandsins og teljara fyrir hvern jafning. Sú önnur sýnir hvort biðlarinn beinir þeim áfangastað í raun inn í tunnuna. Sú þriðja og fjórða segja þér hvort beiðnin barst og hvort stefna henti henni eftir komu.

wg show
ip route get 192.168.50.20
tcpdump -ni wg0 icmp
iptables -vnL FORWARD --line-numbers

Beiðni sem berst og fær ekkert svar bendir á svarleiðina eða LAN-hýsilinn. Beiðni sem berst aldrei bendir á AllowedIPs eða leið biðlarans. Þessar tvær niðurstöður þurfa mismunandi lagfæringar, og upptakan er það sem greinir þær að.