WireGuard-jafningi fer út um rangt WAN: fimm athuganir í röð

Á gátt með mörgum uppstreymislinum geta handabandið og flæðið sem er sent áfram farið ólíkar leiðir. Farðu í gegnum reglu, merki, þýðingu og svar í þeirri röð.

Tvær uppstreymislínur, ein gátt og WireGuard-jafningi sem umferðin hans heldur áfram að birtast á varalínunni. Handabandið helst heilbrigt allan tímann. Þess vegna er auðvelt að lesa einkennin rangt sem bilun í WireGuard frekar en vandamál í leiðsögn.

Farðu í gegnum athuganirnar hér að neðan í röð. Hver hefur stöðvunarskilyrði, og að stökkva fram úr gefur venjulega öruggt rangt svar.

Aðskildu handabandið frá flæðinu sem er sent áfram

Dulkóðuð jafningjaskipti hafa endapunktsleið að opinberu vistfangi þjónsins. Umferð viðskiptavinar sem er send áfram hefur annan áfangastað og getur verið valin af merkjum eða stefnureglum. Þetta eru tvær leiðsagnarákvarðanir sem deila einu viðmóti. Að meðhöndla aðra sem sönnun um hina er fyrsta mistökin.

Stoppaðu um leið og þú tekur þig á því að röksemda út frá handabandinu. Það er aðeins sönnun um endapunktsleiðina.

Lestu stefnuregluna, ekki sjálfgefna töfluna

Sjálfgefin tafla sýnir hvað gerist þegar engin stefnuregla passar. Á gátt sem leiðsagnar eftir uppruna, merki eða áfangastað býr ákvarðandi reglan annars staðar. Hin venjulega tafla getur virst fullkomlega sanngjörn á meðan raunverulega valið er gert fyrir ofan hana.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Lestu stefnureglurnar og töflurnar sem þær vísa á. Staðfestu síðan hvaða regla passar við prófunarflæðið þitt. Regla sem vísar á viðmót sem ber ekki lengur fyrirhugaða uppstreymislínu er fundur, ekki smáatriði. Leiðarleitin í lokin sýnir svarið miklu hraðar en að lesa töflu og giska.

Athugaðu merkið og þýðinguna saman

Stefnuleiðsögn byggist á pakkamerki sem sett var fyrr í keðjunni. Ef merkingarreglan sleppir umferðinni þinni fellur flæðið í aðaltöfluna og fer út um það sem er sjálfgefið þar. Pakkar sem eru sendir áfram sleppa oft keðjum sem skrifaðar voru fyrir umferð sem er búin til á staðnum.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

Þýðingin verður að passa við uppstreymislínuna sem ber flæðið. Regla sem þýðir á aðalfangið á meðan pakkinn fer út um varalínuna framleiðir svör sem eru stíluð á viðmót sem flæðið notaði aldrei. Athugaðu eigið viðmótsskilyrði þýðingarreglunnar. Skilyrðislaus regla virkar þar til önnur uppstreymislínan er notuð, og bregst þá á þann hátt að virðist slitrótt.

Fylgstu með hvaða viðmót ber svarið

Taktu á báðum uppstreymislínum á meðan ein beiðni keyrir. Skráðu hvaða viðmót ber beiðnina og hvaða svarið. Ósamhverfar leiðir eru miklu auðveldari að sjá en að spá fyrir um.

Ef svarið kemur um ranga uppstreymislínu hefur vandamálið fluttst frá WireGuard yfir í rakningu tenginga eða þýðingu. Engin breyting á stillingum jafningsins lagar það.

Breyttu einu með leið til baka

Haltu stjórnborðs- eða utanbands-aðgangi áður en þú breytir stefnureglum á gátt. Gerðu eina breytingu, prófaðu sama heimilaða áfangastað, tengdu síðan aftur og staðfestu að handabandið noti enn fyrirhuguðu endapunktsleiðina. Bættu við tölulegu prófi á annarri vistfangafjölskyldunni, því stefna sem gildir aðeins um v4 skilur sömu mistökin eftir opnar.

Skráðu hvaða uppstreymislínu hvert flæði notaði. Þessi skráning gerir næstu skýrslu að tveggja mínútna athugun í stað heils síðdegis. athugasemdir WireGuard um nafnrými og leiðsögn lýsa því hvernig á að aðskilja endapunktsleiðina viljandi frá umferðinni í göngunum, sem er venjulega hreinna en að afrita hjáleið með sjálfgefinni leið.

Tengdir greinar