WireGuard AllowedIPs: NetworkManager ешқашан қоспаған маршрут

Қол алысу санауышы жаңарады, интерфейс өз мекенжайын сақтайды, ал арғы жаққа жіберілген ping еш жерге жетпейді. Бұл үйлесім адамдарды шатастырады, өйткені жұмыс істеп тұрған қол алысу туннель дайын екенінің дәлеліндей көрінеді. Бірақ олай емес: туннель толық келісілген болуы мүмкін және оған трафикті бағыттайтын бірде-бір маршрут болмауы мүмкін, ал бұл екі бөлек жұмыс, оны күйидің екі бөлек бөлігі орындайды. Түзету осы екеуінің қайсысы жетіспейтініне толығымен байланысты, сондықтан бірінші қадам — соны анықтау.

wg-quick екеуін де сұраусыз орындайды. NetworkManager-дің кірістірілген WireGuard қолдауы да әдепкі бойынша peer маршруттарын орнатады, бұл күдіктілерді өшірілген опцияға, басқа маршруттау кестесіне немесе басқа нәрсе арқылы импортталған конфигурацияға тарылтады.

Маршруттың артынан түспес бұрын туннельді растаңыз

wg show интерфейсті, peer-ді, соңғы нүктені және соңғы қол алысудың жасын шығарады, ал ip addr show мекенжайдың бар екенін растайды. Жақында болған қол алысу кілттердің, соңғы нүктенің және UDP жолының жұмыс істеп тұрғанын білдіреді. Бұзылғанның бәрі олардың төменгі жағында: маршруттау, сүзу немесе атауларды шешу.

Сосын ядродан гипотетикалық емес, нақты межелі орынмен не істейтінін сұраңыз: ip route get 10.42.7.9. Жауап шығыс интерфейсін және пакет алып жүретін бастау мекенжайын атайды. Ол физикалық адаптерді атағанда, қол алысу қаншалықты сау көрінсе де, пакет туннельге ешқашан кірмейді.

AllowedIPs — сүзгі және маршруттар тізімі

AllowedIPs префикстері екі жұмыс атқарады. Олар қай peer шығыс межелі орынды алып жүретінін таңдайды және кіріс пакеттердің бастау мекенжайын тексереді, бұл криптокілттік маршруттау шекарасы. wg-quick-те олар маршруттарды автоматты орнатуды да басқарады, және дәл осы қосымша мінез-құлық бір конфигурацияның терминалдан жұмыс істеп, жұмыс үстелі клиентінен істемеуінің себебі.

Осы мақаланың артындағы жағдайда профиль кірістірілген қолдау арқылы емес, үшінші тарап плагині арқылы импортталған, ал интерфейс префикс маршрутынсыз көтерілді. Кестені тізіп шығу мұны бірден көрсетеді: ip route show тек интерфейс мекенжайының қосылған маршрутын қамтиды, алыс ауқым үшін ештеңе жоқ.

Peer маршруттары мүлдем қосылған ба, соны сұраңыз

Бірдеңені өзгертудің алдында параметрді оқыңыз: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. peer-routes no көрсеткенде, қолдау көрсетілетін түзету — nmcli connection modify work-wg wireguard.peer-routes yes, одан кейін қайта қосылу. Оның орнына статикалық маршрут қосу келесі белсендіруге дейін жұмыс істейді, содан кейін үнсіз жоғалады. Дәл сол жоғалу — белгі: әр таң сайын жұмбақ болып қайтатын маршрутты профиль орнатпайды.

Егер опция әлдеқашан қосылған болса, префикстің басқа кестеде тұратынын ip route show table all | grep 10 арқылы тексеріңіз. Негізгі емес кестедегі маршрут жетіспейді емес, ол тек негізгі кестені ғана қарайтын іздеуге көрінбейді. Үстіне көшірме жазба үйіп қоюдың орнына саясат маршруттауын түзетіңіз.

Префиксті жұмыс істеп тұрған жүйеге емес, қосылымға қосыңыз

Қосылымдар редакторында WireGuard беті peer-ді және оның AllowedIPs-ін ұстайды, ал IPv4 беті қосымша маршруттарды ұстайды. Онда қосылған маршрут қайта қосылулардан өтеді, өйткені ол профильге тиесілі. Пәрмен жолында баламасы — бос қақпа нысанында қосылымға маршрут тіркеу, содан кейін өзгеріс қолданылуы үшін қосылымды төмендетіп, қайта көтеру.

Сізге қажет хосттарды қамтитын ең тар префиксті таңдаңыз. Провайдердің /8 мысалын көшіру оның ішінде кездейсоқ орналасқан жергілікті ауқымдарды жұтып қоюы мүмкін, ал туындаған ақаулар тым кең маршрут емес, бұзылған туннель болып көрінеді.

Бөлінген туннельді префикстер тізімі шешеді

Бөлінген туннельдің ажыратқышы жоқ; префикстер тізімі — шешім. Кеңсе LAN-ы үшін бір ауқымы және зертхана желісі үшін тағы бір ауқымы бар peer дәл сол межелі орындарды туннель арқылы жібереді де, қалғанын тыныш қалдырады. Бір хостқа /32 керек, ал екі орында қабаттасатын ауқымдарға біреу ішкі желіні қайта нөмірлегенге дейін хост префикстері керек.

Туннель арқылы ештеңе жібермеуді таңдау сол шешімді шегіне жеткізеді: ең аз тізім байланысты жоғары ұстайды, ал қарапайым трафик өзінің әдеттегі жолымен жүреді. Ниетті жазып қойыңыз, әйтпесе келесі оқырман қысқа тізімді ұмытшақтық деп қабылдап, көмектесу мақсатында оны кеңейтеді.

Маршруттар кестесіне бір ие

wg-quick пен NetworkManager екеуі де интерфейс маршруттарын өздері иемденеді деп санайды. wg-quick үшін жазылған конфигурацияны импорттап, сосын wg-quick қызметін де іске қосыңыз, сонда мінез-құлқы қайсысы соңғы болып істегеніне байланысты болатын қайталанған немесе қайшы жазбалар аласыз. Бір ие таңдап, екіншісін алып тастаңыз: егер NetworkManager қосылымды басқарса, сол интерфейс үшін wg-quick бірлігін өшіріңіз және сол құрылғыға ешқашан екінші профиль қоспаңыз.

Бөлу межелі орынға емес, физикалық адаптерге еруі керек болса, сіз саясат маршруттауына өттіңіз, ал саясат маршруттауы да бір авторды қажет етеді. ip route get пәрменін қайталап, сосын алыс префикстің ішіндегі хостқа оның таңдаған бастау мекенжайын басатын нәрсемен жетіп тексеріңіз. Егер профиль екеуінің бірін алып жүрсе, IPv6 мен DNS-ті бөлек тексеріңіз.