WireGuard AllowedIPs: მარშრუტი, რომელიც NetworkManager-მ არასოდეს დაამატა

ხელის ჩამორთმევის მრიცხველი ახლდება, ინტერფეისი ინარჩუნებს მისამართს, და მეორე მხარეს გაგზავნილი ping არსად აღწევს. ეს კომბინაცია აბნევს ხალხს, რადგან მომუშავე ხელის ჩამორთმევა გვირაბის მზაობის დამადასტურებელ საბუთად ჩანს. ასე არ არის: გვირაბი შეიძლება სრულად შეთანხმებული იყოს და მაინც არ ჰქონდეს არც ერთი მარშრუტი, რომელიც ტრაფიკს მასში გაუშვებს, და ეს ორი ცალკე საქმეა, რომელსაც მდგომარეობის ორი ცალკე ნაწილი ასრულებს. გასწორება მთლიანად იმაზეა დამოკიდებული, რომელი აკლია ამ ორიდან, ამიტომ პირველი ნაბიჯი სწორედ ამის გარკვევაა.

wg-quick ორივეს ასრულებს თხოვნის გარეშე. NetworkManager-ის ჩაშენებული WireGuard მხარდაჭერაც ნაგულისხმევად აყენებს peer მარშრუტებს, რაც ეჭვმიტანილებს ავიწროებს გამორთულ პარამეტრამდე, სხვა მარშრუტიზაციის ცხრილამდე ან სხვა რამის გავლით იმპორტირებულ კონფიგურაციამდე.

დაადასტურეთ გვირაბი, სანამ მარშრუტს გაჰყვებით

wg show ბეჭდავს ინტერფეისს, peer-ს, ბოლო წერტილს და ბოლო ხელის ჩამორთმევის ასაკს, ხოლო ip addr show ადასტურებს, რომ მისამართი ადგილზეა. ახლო ხნის ხელის ჩამორთმევა ნიშნავს, რომ გასაღებები, ბოლო წერტილი და UDP გზა მუშაობს. ყველაფერი გატეხილი მათ ქვემოთ ზის: მარშრუტიზაცია, ფილტრაცია ან სახელების გარჩევა.

შემდეგ ჰკითხეთ ბირთვს, რას იზამდა ჰიპოთეტურის ნაცვლად რეალურ დანიშნულებასთან: ip route get 10.42.7.9. პასუხი ასახელებს გამავალ ინტერფეისს და იმ წყაროს მისამართს, რომელსაც პაკეტი ატარებდა. როცა ის ფიზიკურ ადაპტერს ასახელებს, პაკეტი ვერასოდეს შედის გვირაბში, რაც არ უნდა ჯანსაღად გამოიყურებოდეს ხელის ჩამორთმევა.

AllowedIPs ფილტრიცაა და მარშრუტების სიაც

AllowedIPs-ის პრეფიქსები ორ საქმეს ასრულებს. ისინი ირჩევენ, რომელი peer ატარებს გამავალ დანიშნულებას, და ამოწმებენ შემომავალი პაკეტების წყაროს მისამართს, რაც კრიპტოგასაღების მარშრუტიზაციის საზღვარია. wg-quick-ში ისინი მარშრუტების ავტომატურ ინსტალაციასაც მართავენ, და სწორედ ეს დამატებითი ქცევაა მიზეზი, რომ ერთი და იგივე კონფიგურაცია ტერმინალიდან მუშაობს და არა სამუშაო მაგიდის კლიენტიდან.

ამ სტატიის უკან არსებულ შემთხვევაში პროფილი იმპორტირებული იყო მესამე მხარის დანამატით და არა ჩაშენებული მხარდაჭერით, და ინტერფეისი წამოვიდა პრეფიქსის მარშრუტის გარეშე. ცხრილის ჩამოთვლა ამას მაშინვე აჩვენებს: ip route show შეიცავს მხოლოდ ინტერფეისის მისამართის დაკავშირებულ მარშრუტს და არაფერს შორეული დიაპაზონისთვის.

იკითხეთ, საერთოდ ჩართულია თუ არა peer მარშრუტები

წაიკითხეთ პარამეტრი, სანამ რამეს შეცვლით: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. როცა peer-routes აჩვენებს no-ს, მხარდაჭერილი შეკეთებაა nmcli connection modify work-wg wireguard.peer-routes yes, რასაც მოჰყვება ხელახლა დაკავშირება. სტატიკური მარშრუტის დამატება სამაგიეროდ მუშაობს შემდეგ გააქტიურებამდე და შემდეგ ჩუმად ქრება. სწორედ ეს გაქრობაა ნიშანი: მარშრუტს, რომელიც ყოველ დილით გამოცანად ბრუნდება, პროფილი არ აყენებს.

თუ პარამეტრი უკვე ჩართულია, შეამოწმეთ, ცხოვრობს თუ არა პრეფიქსი სხვა ცხრილში ip route show table all | grep 10-ის მეშვეობით. არამთავარ ცხრილში არსებული მარშრუტი არ აკლია, ის უბრალოდ უხილავია ძიებისთვის, რომელიც მხოლოდ მთავარ ცხრილს უყურებს. გაასწორეთ პოლიტიკის მარშრუტიზაცია, ნაცვლად იმისა, რომ ზემოდან დუბლირებული ჩანაწერი დააწყოთ.

პრეფიქსი დაამატეთ კავშირს და არა მოქმედ სისტემას

კავშირების რედაქტორში WireGuard გვერდი ინახავს peer-ს და მის AllowedIPs-ს, ხოლო IPv4 გვერდი დამატებით მარშრუტებს. იქ დამატებული მარშრუტი გადაურჩება ხელახლა დაკავშირებებს, რადგან პროფილს ეკუთვნის. ბრძანების სტრიქონზე ეკვივალენტია მარშრუტის მიმაგრება კავშირზე ცარიელი კარიბჭის ფორმით, შემდეგ კი კავშირის ჩამოშვება და აწევა, რათა ცვლილება გამოვიყენოთ.

აირჩიეთ ყველაზე ვიწრო პრეფიქსი, რომელიც ფარავს თქვენთვის საჭირო ჰოსტებს. პროვაიდერის მაგალითის /8 კოპირებამ შეიძლება ჩაყლაპოს ლოკალური დიაპაზონები, რომლებიც შემთხვევით მის შიგნით არიან, და შედეგად მიღებული ხარვეზები გატეხილ გვირაბს ჰგავს და არა ზედმეტად ფართო მარშრუტს.

გაყოფილ გვირაბს პრეფიქსების სია წყვეტს

გაყოფილი გვირაბის ჩამრთველი არ არსებობს; პრეფიქსების სიაა გადაწყვეტილება. peer, რომელსაც ერთი დიაპაზონი აქვს ოფისის LAN-ისთვის და ერთიც ლაბორატორიის ქსელისთვის, ზუსტად იმ დანიშნულებებს აგზავნის გვირაბით და დანარჩენს მარტო ტოვებს. ერთ ჰოსტს /32 სჭირდება, ხოლო ორ ადგილას გადამკვეთ დიაპაზონებს ჰოსტის პრეფიქსები სჭირდება, სანამ ვინმე ქვექსელს ხელახლა დანომრავს.

არჩევანი, არაფერი გაიგზავნოს გვირაბით, იმავე გადაწყვეტილებას ზღვრამდე მიჰყავს: მინიმალური სია კავშირს ზევით ინახავს, სანამ ჩვეულებრივი ტრაფიკი ჩვეულებრივ გზას მიჰყვება. ჩაწერეთ განზრახვა, თორემ შემდეგი მკითხველი მოკლე სიას უყურადღებობად ჩათვლის და დახმარების მიზნით გააფართოებს.

ერთი მფლობელი მარშრუტების ცხრილისთვის

wg-quick და NetworkManager ორივე თვლის, რომ ინტერფეისის მარშრუტები მათია. შემოიტანეთ wg-quick-ისთვის დაწერილი კონფიგურაცია და შემდეგ wg-quick სერვისიც გაუშვით, და მიიღებთ დუბლირებულ ან ურთიერთსაწინააღმდეგო ჩანაწერებს, რომელთა ქცევა დამოკიდებულია იმაზე, რომელი იმუშავა ბოლოს. აირჩიეთ ერთი მფლობელი და მეორე მოხსენით: თუ NetworkManager მართავს კავშირს, გამორთეთ wg-quick ერთეული ამ ინტერფეისისთვის და არასოდეს დაამატოთ მეორე პროფილი იმავე მოწყობილობისთვის.

როცა გაყოფამ უნდა მიჰყვეს ფიზიკურ ადაპტერს და არა დანიშნულებას, თქვენ პოლიტიკის მარშრუტიზაციაზე გადახვედით, და პოლიტიკის მარშრუტიზაციასაც ერთი ავტორი სჭირდება. გადაამოწმეთ ip route get-ის გამეორებით, შემდეგ კი შორეული პრეფიქსის შიგნით ჰოსტამდე მისვლით იმით, რაც მის მიერ არჩეულ წყაროს მისამართს ბეჭდავს. თუ პროფილი ერთ-ერთს ატარებს, IPv6 და DNS ცალ-ცალკე შეამოწმეთ.