WireGuard AllowedIPs: NetworkManager эч качан кошпогон маршрут

Кол алышуу эсептегичи жаңырат, интерфейс өз дарегин сактайт, ал эми аркы тарапка жиберилген ping эч жакка жетпейт. Бул айкалыш адамдарды адаштырат, анткени иштеп жаткан кол алышуу туннелдин даярдыгынын далилиндей көрүнөт. Бирок андай эмес: туннель толук макулдашылган болушу мүмкүн жана ага трафикти багыттай турган бир да маршрут болбошу мүмкүн, ал эми бул эки өзүнчө иш, аны абалдын эки өзүнчө бөлүгү аткарат. Оңдоо ошол экөөнүн кайсынысы жетишпей жатканына толук көз каранды, ошондуктан биринчи кадам — ушуну аныктоо.

wg-quick экөөнү тең суралбастан аткарат. NetworkManagerдин курулган WireGuard колдоосу да демейки боюнча peer маршруттарын орнотот, бул шектүүлөрдү өчүрүлгөн опцияга, башка маршруттоо таблицасына же башка нерсе аркылуу импорттолгон конфигурацияга чейин кыскартат.

Маршруттун артынан түшпөстөн мурун туннелди ырастаңыз

wg show интерфейсти, peerди, акыркы чекитти жана акыркы кол алышуунун жашын чыгарат, ал эми ip addr show даректин бар экенин ырастайт. Жакында болгон кол алышуу ачкычтардын, акыркы чекиттин жана UDP жолунун иштеп жатканын билдирет. Бузулгандын баары алардын төмөн жагында: маршруттоо, чыпкалоо же аттарды чечүү.

Анан ядродон гипотетикалык эмес, реалдуу багыт менен эмне кыларын сураңыз: ip route get 10.42.7.9. Жооп чыгуучу интерфейсти жана пакет алып жүрө турган булак дарегин атайт. Ал физикалык адаптерди атаганда, кол алышуу канчалык соо көрүнсө да, пакет туннелге эч качан кирбейт.

AllowedIPs — чыпка жана маршруттардын тизмеси

AllowedIPs префикстери эки иш аткарат. Алар кайсы peer чыгуучу багытты алып жүрөрүн тандайт жана кирүүчү пакеттердин булак дарегин текшерет, бул криптоачкыч маршруттоосунун чеги. wg-quickте алар маршруттарды автоматтык орнотууну да башкарат, жана дал ушул кошумча жүрүм-турум бир конфигурациянын терминалдан иштеп, жумушчу столу кардарынан иштебей калышынын себеби.

Бул макаланын артындагы учурда профиль курулган колдоо аркылуу эмес, үчүнчү тараптын плагини аркылуу импорттолгон, ал эми интерфейс префикс маршруту жок көтөрүлгөн. Таблицаны тизмелөө муну дароо көрсөтөт: ip route show интерфейс дарегинин туташкан маршрутун гана камтыйт, алыскы диапазон үчүн эч нерсе жок.

Peer маршруттары такыр күйгүзүлгөнбү, сураңыз

Бир нерсени өзгөртүүдөн мурун жөндөөнү окуңуз: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. peer-routes no көрсөткөндө, колдоого алынган оңдоо — nmcli connection modify work-wg wireguard.peer-routes yes, анан кайра туташуу. Анын ордуна статикалык маршрут кошуу кийинки активдештирүүгө чейин иштейт, анан унчукпай жоголот. Ошол жоголуу — белги: ар бир эртең менен табышмак болуп кайтып келген маршрутту профиль орнотпойт.

Эгер опция мурунтан күйгүзүлгөн болсо, префикстин башка таблицада жашаарын ip route show table all | grep 10 аркылуу текшериңиз. Негизги эмес таблицадагы маршрут жетишпейт эмес, ал негизги таблицаны гана караган издөө үчүн көрүнбөйт. Үстүнө көчүрмө жазуу үйүп коюунун ордуна саясат маршруттоосун оңдоңуз.

Префиксти иштеп жаткан системага эмес, туташууга кошуңуз

Туташуулар редакторунда WireGuard бети peerди жана анын AllowedIPsин кармайт, ал эми IPv4 бети кошумча маршруттарды кармайт. Ал жерде кошулган маршрут кайра туташуулардан өтөт, анткени ал профилге таандык. Буйрук сабында барабардыгы — бош дарбаза формасында туташууга маршрут тиркөө, анан өзгөртүү колдонулушу үчүн туташууну төмөн түшүрүп, кайра көтөрүү.

Сизге керектүү хостторду камтыган эң кууш префиксти тандаңыз. Провайдердин /8 мисалын көчүрүү анын ичинде кокусунан жайгашкан жергиликтүү диапазондорду жутуп коюшу мүмкүн, ал эми келип чыккан бузулуулар өтө кенен маршрут эмес, бузулган туннель болуп көрүнөт.

Бөлүнгөн туннелди префикстер тизмеси чечет

Бөлүнгөн туннелдин өчүргүчү жок; префикстер тизмеси — чечим. Кеңсе LANы үчүн бир диапазону жана лаборатория тармагы үчүн дагы бир диапазону бар peer дал ошол багыттарды туннел аркылуу жиберет жана калганын тынч калтырат. Бир хостко /32 керек, ал эми эки жерде кайчылашкан диапазондорго бирөө ички тармакты кайра номурлаганга чейин хост префикстери керек.

Туннел аркылуу эч нерсе жибербөө тандоосу ошол эле чечимди четине жеткирет: эң аз тизме байланышты жогору кармайт, ал эми кадимки трафик өзүнүн кадимки жолу менен жүрөт. Ниетти жазып коюңуз, болбосо кийинки окуучу кыска тизмени унутуу деп кабыл алып, жардам берүү максатында аны кеңейтет.

Маршруттар таблицасына бир ээ

wg-quick жана NetworkManager экөө тең интерфейстин маршруттарын өздөрү ээлейт деп эсептешет. wg-quick үчүн жазылган конфигурацияны импорттоп, анан wg-quick кызматын да иштетиңиз, ошондо жүрүм-туруму кайсынысы акыркы иштегенине жараша болгон кайталанган же кайчы келген жазууларды аласыз. Бир ээ тандап, экинчисин алып салыңыз: эгер NetworkManager туташууну башкарса, ошол интерфейс үчүн wg-quick бирдигин өчүрүңүз жана ошол эле түзмөккө эч качан экинчи профиль кошпоңуз.

Бөлүү багытка эмес, физикалык адаптерге ээрчүүгө тийиш болсо, сиз саясат маршруттоосуна өттүңүз, ал эми саясат маршруттоосу да бир авторду талап кылат. ip route get буйругун кайталап, анан алыскы префикстин ичиндеги хостко анын тандаган булак дарегин баскан нерсе менен жетип текшериңиз. Эгер профиль экөөнүн бирин алып жүрсө, IPv6 жана DNSти өзүнчө текшериңиз.