WireGuard демейки маршрут циклы: акыркы чекиттин жолун табыңыз

Интерфейс көтөрүлөт, өнөктөштүн конфигурациясы туура көрүнөт жана эч бир кол алышуу эч качан аяктабайт. Туннел аркылуу демейки маршрут кошуу — муну көп учурда пайда кылган кадам: ошол эле маршруттар таблицасы эми туннелдин өзүнүн шифрленген пакеттери кайда барышы керектигин чечет, жана анын берген жообу кайра туннелге кетет. Ички пакетти ташыган сырткы пакетти ташыган эч нерсе жок, ошондуктан байланыш башталганга чейин эле токтойт. Оңдоо кичине, бирок анын тартиби бар, жана текшерүү оңдоодон маанилүү.

Маршрутту өзгөртүүдөн мурун циклди ырастаңыз

Өнөктөштүн учурдагы акыркы чекит дарегин окуңуз, анан маршруттоо стегинен ошол дарекке бара турган пакет кайда кетерин сураңыз. Эгер жооп туннелдин интерфейсин атаса, цикл ырасталды жана андан ары диагностика керек эмес. Бир нерсеге тийүүдөн мурун эки чыгымын тең өзгөртүү журналына сактаңыз, анткени оңдоодон кийинки салыштыруу — ошол эле эки команда. Цикл бир жолу көрүлгөндөн кийин назик эмес; кыйынчылык — бул болуп жатканда интерфейс соо көрүнөт.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Ошол жазууга саясат эрежелерин кошуңуз. Негизги таблицада туура көрүнгөн демейки маршрут белгиленген же белгиленбеген трафик үчүн башка таблицаны тандаган эрежеден утулушу мүмкүн, жана маршруттар таблицасы жакшы көрүнсө да цикл кайра пайда болот.

Акыркы чекиттин жолун окуңуз, туннелдин жолун эмес

Акыркы чекиттин жолу — шифрленген датаграммалар өнөктөштүн ачык дарегине барган маршрут, жана туннел бар болгонго чейин ал туннелден тышкары калышы керек. Туннелдин жолу — өнөктөшкө ташууга уруксат берилгендин баары. Бул эки жол бир маршруттар таблицасын бөлүшөт, жана дал ошондуктан бир гана баарын кармаган жазуу аларды бири-бирине кыйратып салышы мүмкүн. Туннелдин трафигин туннелдин өзүнүн ташуусунан бөлүү — бүт дизайн маселеси, жана ар бир колдоого алынган курал аны бир жерде бир аз башкача чечет.

Интерфейс экөөнү тең ташыса, эки дарек үй-бүлөсүн өзүнчө текшериңиз. Иштеген IPv4 четтетүү IPv6 акыркы чекитине дагы жетүүгө болобу деген суроого эч нерсе айтпайт, жана аралаш конфигурация өнөктөштүн IPv6 дареги тандалганга чейин иштеп жаткандай көрүнүшү мүмкүн.

Акыркы чекиттин жолун бир ырааттуу өзгөртүү менен калыбына келтириңиз

Эки колдоого алынган ыкма бар, жана аларды аралаштыруу — иштеген конфигурацияны болжолдоо мүмкүн эмес кылуучу жол. Биринчиси — интерфейске ээ куралга бүт туннелди башкарууга жол берүү: wg-quick демейки өнөктөш диапазону үчүн атайын иштетүүгө ээ, ал өзүнчө таблицаны, саясат эрежелерин жана сокет белгисин орнотот, бул сырткы пакеттерди туннелден тышкары кармайт. Бул механизмди бүтүн калтырыңыз, анын жарымын кол менен кайра жасоонун ордуна. Кол менен кошулган демейкини белгилерди жана эрежелерди мурунтан орнотуучу менеджер менен аралаштырган конфигурация кайра туташкандан кийин ийгиликсиз болот, анткени менеджер кол кадамы болжолдогон абалды кайра жазат.

Экинчиси — кол менен жасалган дизайн, анда акыркы чекит физикалык дарбаза аркылуу ачык хост маршрутун алат. Бул маршрутту демейкиден мурун кошуңуз, эскирген жазуу жеңбеши үчүн кошуунун ордуна алмаштырыңыз, жана андан кийин издөөнү ырастаңыз.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Текшериңиз, анан кайтуу жолун сактаңыз

Алдыга жылып жаткан кол алышуу убакыт белгиси — биринчи далил, жана ал жөн эле бар интерфейстен күчтүүрөөк. Аны туннел аркылуу колдонмо сынагы менен улантыңыз, андан кийин интерфейсти атайылап түшүрүңүз жана хост эч нерсеге көрсөтпөгөн демейки маршрутту кармап турбастан, колдонууга жарактуу абалга кайтарын ырастаңыз. Ошол акыркы кадамды адамдар өткөрүп жиберет, жана кайра жүктөө машинаны байланышсыз калтырабы, аны дал ошол чечет.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Мунун баарынан мурун учурдагы маршруттоо абалын сактаңыз жана туннелге көз каранды эмес кирүү жолу бар экенине ынаныңыз: консоль, тышкы башкаруу дареги же жергиликтүү кесиптеш. Демейки маршрутунан ажыраган алыскы машинаны жаңы эле жоготкон байланыш аркылуу калыбына келтирүү мүмкүн эмес, жана runbook-тун эң коопсуз кадамы — биринчи командага чейин жасалган кадам.