NetworkManager oder wg-quick: wien besëtzt deng WireGuard-Routen?

Du änderst AllowedIPs an der WireGuard-Datei, startest den Tunnel nei, an d’Routingtabell gesäit genee esou aus wéi virdrun. Déi üblech Reaktioun ass, déi stéierend Route ze läschen an weiderzemaachen, wat funktionéiert, bis déi nächst Verbindung se erëm setzt. D’Datei, déi s du geännert hues, ass net onbedéngt dat Objet, dat den Zoustand produzéiert huet, deen s du gesäis. Zwee Manager kënnen dee selwechte Protokoll op enger Maschinn lafen, an nëmmen een vun hinne besëtzt den Interface zu engem Zäitpunkt.

Mythos: et gëtt eng WireGuard-Konfiguratioun op der Maschinn

wg-quick liest eng Datei ënner /etc/wireguard/ a baut den Interface, wann s du en eras hëls. NetworkManager späichert e Verbindungsprofil a sengem eegene keyfile-Format a stellt en bei der Aktivéierung duer, a eng wg-quick-Datei z’importéieren kopéiert d’Wäerter an dee Profil, amplaz drop ze verlinken. Den Original duerno z’änneren ännert näischt, well de Profil en net méi liest. Déi selwecht Lëscht vu Peers a Schlësselen kann dofir zweemol existéieren, mat der zweeter Kopie, déi gëllt.

En Zeechen, dat ee sech merke soll: Ännerungen, déi en Neistart iwwerstoen, awer keen erneierten Import, kommen aus engem Späicher, an Ännerungen, déi beim Neistart verschwannen, aus deem aneren.

Ee praktescht Beispill mécht d’Deelung kloer. Vergläich nmcli connection show mat systemctl status wg-quick@wg0, da kontrolléier, un wéi engem Interface d’Routen tatsächlech hänken. Wann de Service dout ass an den Interface uewen ass, mécht de Profil d’Aarbecht, wat d’Datei och seet.

Mythos: d’Routingsregelen sinn en Deel vu WireGuard

Den WireGuard-Apparat am Kernel kennt Peers a Schlësselen, an en weess näischt iwwer Policy-Routing. All ip rule Entréen an zousätzlech Tabellen, déi s du gesäis, goufen vum Tool installéiert, dat den Interface erageholl huet. wg-quick kann e fwmark an eng dedizéiert Tabell plus Regele bäisetzen, déi drop weisen, während NetworkManager Routen iwwer seng eegen ipv4-Astellungen installéiert an DNS dem Resolver-Backend iwwerléisst, deen d’System benotzt. Dee selwechten Tunnel, aner Niewewierkungen.

Lies ip rule an ip route show table all ier s du eppes änderst, a notéier, an wéi enger Tabell all Route wunnt. Eng Tabellennummer, déi s du net konfiguréiert hues, ass en staarken Hiweis op dat Tool, dat se geschaf huet.

Mythos: d’Route läschen ass eng Léisung

Eng Route, déi zur Laufzäit geläscht gëtt, ass eng Route, déi den Eegentemer bei der nächster Aktivéierung erëm installéiert, an d’Aktivéierung kann ouni dech geschéien: en Erwächen aus dem Standby, e Link-Flap, en Neistart vum Service oder eng Autoconnectioun vum NetworkManager. Dofir kënnt déi selwecht Route erëm, an dofir fillt de Workaround sech onzouverlässeg unstatt falsch. Identifizéier fir d’éischt de Manager, da ännere passe genau déi Entrée, déi dee Manager liest.

Sech erëm verbannen an de relevante Service nei starten ass den Test, deen eng richteg Léisung vun enger nëmmen uerdentlech ausgesinnender trennt.

Wiel en Eegentemer a läsch deen aneren

Wiel de Manager, deen dengem Deployment ënnerstëtzt, da desaktivéier d’konkurréierend Aktivéierung iwwer seng dokumentéiert Kontroll, amplaz ze hoffen, dass se idel bleift. En maskéierte wg-quick-Service oder e geläschte NetworkManager-Profil ass explizit; béid aktiv ze loossen a se géinteneen lafe loossen ass et net. Bewaar funktionéierenden Zougang, ier s du eppes desaktivéierst, well den Interface, deen deng Fernsëtzung dréit, kéint dee sinn, deen s du just ewech hues.

No der Ännerung iwwerpréif den abegrafften an ausgeschlossenen Trafic, dann DNS, dann start eemol nei. Wann den Zoustand en Neistart mat engem eenzegen Manager iwwersteet, hues du en Eegentemer anstatt en Zoufall.

Déi allgemeng Regel ass et wäert, sech och baussent WireGuard ze merken: wann eng Astellung ëmmer erëm kënnt, hale mam Läschen vum Resultat op a fann de Prozess, deen et weider produzéiert.