WireGuard теңдесі қате WAN арқылы шығады: бес тексеру ретімен

Бірнеше жоғарғы арнасы бар қақпада қол алысу мен жіберілген ағын әртүрлі жолдармен жүруі мүмкін. Ереже, белгі, аударма және жауапты осы ретпен өткізіңіз.

Екі жоғарғы арна, бір қақпа және трафигі резервтік желіде үнемі көрінетін WireGuard теңдесі. Қол алысу бүкіл уақытта сау күйде қалады. Сондықтан белгіні WireGuard ақауы ретінде қате оқу оңай, ал шын мәнінде бұл маршруттау ақауы.

Төмендегі тексерулерді ретімен орындаңыз. Әрқайсысының тоқтау шарты бар, ал алға секіру әдетте сенімді қате жауап береді.

Қол алысуды жіберілген ағыннан бөліңіз

Шифрланған теңдес алмасуының сервердің жария мекенжайына шейінгі соңғы нүкте маршруты бар. Жіберілген клиент трафигінің мақсаты басқа және ол белгілер немесе саясат ережелері арқылы таңдалуы мүмкін. Бұл бір интерфейсті бөлісетін екі маршруттау шешімі. Біреуін екіншісі туралы дәлел ретінде қарау — бірінші қате.

Қол алысудан пайымдап жатқаныңызды байқаған бойда тоқтаңыз. Ол тек соңғы нүкте жолы туралы дәлел.

Саясат ережесін оқыңыз, әдепкі кестені емес

Әдепкі кесте бірде-бір саясат ережесі сәйкес келмегенде не болатынын көрсетеді. Дереккөз, белгі немесе мақсат бойынша маршруттайтын қақпада шешуші ереже басқа жерде тұрады. Қарапайым кесте толығымен орынды көрінуі мүмкін, ал шынайы таңдау оның үстінде жасалады.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Саясат ережелерін және олар сілтейтін кестелерді оқыңыз. Содан кейін сынақ ағыныңызға қай ереже сәйкес келетінін растаңыз. Күтілетін жоғарғы арнаны енді тасымайтын интерфейске сілтейтін ереже — бұл табылған мәселе, ұсақ-түйек емес. Соңындағы маршрут іздеу кестені оқып болжаудан әлдеқайда жылдам жауап көрсетеді.

Белгі мен аударманы бірге тексеріңіз

Саясат маршруттауы тізбекте бұрын қойылған пакет белгісіне сүйенеді. Егер белгілеу ережесі сіздің трафигіңізді өткізіп жіберсе, ағын негізгі кестеге түсіп, ондағы әдепкі арқылы шығады. Жіберілген пакеттер жергілікті жасалған трафик үшін жазылған тізбектерді жиі айналып өтеді.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

Аударма ағынды таситын жоғарғы арнаға сәйкес болуы керек. Пакет резервтік желі арқылы шығып жатқанда негізгі мекенжайға аударатын ереже ағын ешқашан пайдаланбаған интерфейске адрестелген жауаптар жасайды. Аударма ережесінің өз интерфейс шартын тексеріңіз. Шартсыз ереже екінші жоғарғы арна пайдаланылғанша жұмыс істейді, содан кейін үзілмелі көрінетін түрде сәтсіздікке ұшырайды.

Қай интерфейс жауапты таситынын бақылаңыз

Бір сұраныс орындалып жатқанда екі жоғарғы арнада да ұстаңыз. Қай интерфейс сұранысты және қайсысы жауапты таситынын белгілеңіз. Асимметриялық жолдарды көру болжаудан әлдеқайда оңай.

Егер жауап қате жоғарғы арна арқылы келсе, мәселе WireGuard-тан қосылымды бақылауға немесе аудармаға көшті. Теңдес конфигурациясындағы ешбір өзгеріс оны түзетпейді.

Қайтару жолымен бір нәрсені өзгертіңіз

Қақпада саясат ережелерін өңдеу алдында консольдік немесе жолақтан тыс қатынасты сақтаңыз. Бір өзгеріс жасаңыз, сол рұқсат етілген межелі орынды тексеріңіз, содан кейін қайта қосылып, қол алысудың әлі де күтілетін соңғы нүкте жолын пайдаланып жатқанын растаңыз. Екінші мекенжай тобына сандық сынақ қосыңыз, себебі тек v4-ке арналған саясат сол қатені ашық қалдырады.

Әр ағынның қай жоғарғы арнаны пайдаланғанын жазып алыңыз. Бұл жазба келесі есепті тұтас түстен кейінгі уақыттың орнына екі минуттық тексеріске айналдырады. WireGuard-тың ат кеңістіктері мен маршруттау туралы жазбалары соңғы нүкте жолын туннельденген трафиктен әдейі бөлу жолын сипаттайды, бұл әдетте әдепкі маршрутты айналып өту шешімін көшіруден әлдеқайда тазарақ.

Қатысты мақалалар