WireGuard AllowedIPs: de Route, déi NetworkManager ni bäigefüügt huet

Den Handshake-Zähler aktualiséiert sech, d’Interface behält seng Adress, an e Ping op déi aner Säit kënnt nirgendwu. Déi Kombinatioun verwirrt Leit, well en Handshake dee funktionéiert wéi e Beweis wierkt, datt den Tunnel prett ass. Ass en net: en Tunnel kann komplett ausgehandelt sinn an trotzdem keng Route hunn, déi Verkéier eraleet, an dat sinn zwee getrennt Aarbechten, déi zwee getrennt Stécker Zoustand maachen. D’Korrektur hänkt komplett dovun of, wéien vun deenen zwee feelt, dofir ass den éischte Schrëtt dat erauszefannen.

wg-quick mécht béides ouni datt een et freet. Déi agebaute WireGuard-Ënnerstëtzung vum NetworkManager installéiert och standardméisseg Peer-Routen, wat d’Verdächtegen op eng deaktivéiert Optioun, eng aner Routing-Tabelle oder eng Konfiguratioun agegrenzt, déi iwwer eppes anescht importéiert gouf.

Bestätegt den Tunnel, ier Dir der Route nogitt

wg show dréckt d’Interface, de Peer, den Endpunkt an d’Alter vum leschten Handshake, an ip addr show bestätegt, datt d’Adress do ass. En neien Handshake bedeit, datt d’Schlësselen, den Endpunkt an de UDP-Wee funktionéieren. Alles wat futti ass, sëtzt ënnerhalb dovun: Routing, Filterung oder Numm-Opléisung.

Frot duerno de Kern, wat en mat engem echte Bestëmmungsziel géif maachen amplaz mat engem hypotheteschen: ip route get 10.42.7.9. D’Äntwert nennt d’Interface fir eraus an d’Quelladress, déi de Paket géif droen. Wa se den uerdlechen Adapter nennt, geet de Paket ni an den Tunnel, egal wéi gesond den Handshake ausgesäit.

AllowedIPs ass e Filter an eng Routenlëscht

D’Prefixe vun AllowedIPs maachen zwou Aarbechten. Si wielen, wéi ee Peer en erausgehend Zil dréit, a si validéieren d’Quelladress vun erakommende Paketen, wat d’Grenz vum Kryptoschlëssel-Routing ass. Am wg-quick dreiwen se zousätzlech d’automatesch Installatioun vun de Routen, an genau dëst zousätzlecht Verhale ass de Grond, firwat déiselwecht Konfiguratioun vun engem Terminal aus funktionéiert an net vun engem Desktop-Client.

Am Fall hannert dësem Artikel gouf de Profil iwwer en Drëtt-Partei-Plugin importéiert an net iwwer déi agebaut Ënnerstëtzung, an d’Interface koum ouni d’Prefix-Route erop. D’Tabelle lëschten weist et direkt: ip route show enthält just déi verbonne Route fir d’Interface-Adress, an näischt fir de wäite Beräich.

Frot, ob Peer-Routen iwwerhaapt aktiv sinn

Liest d’Astellung, ier Dir eppes ännert: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Wa peer-routes no weist, ass déi ënnerstëtzt Reparatur nmcli connection modify work-wg wireguard.peer-routes yes, gefolgt vun enger Neiverbindung. Eng statesch Route amplaz derbäizesetzen funktionéiert bis zur nächster Aktivéierung a verschwënnt dann roueg. Dat Verschwannen ass den Hiwäis: eng Route, déi all Moien als Rätsel zréckkënnt, gëtt net vum Profil installéiert.

Wann d’Optioun schonn aktiv ass, préift mat ip route show table all | grep 10, ob de Prefix an enger anerer Tabelle lieft. Eng Route an enger Tabelle déi net d’Haapttabelle ass feelt net, se ass just onsiichtbar fir eng Sich, déi nëmmen d’Haapttabelle consultéiert. Reparéiert de Policy-Routing, amplaz eng duebel Entrée drop ze stackelen.

Setzt de Prefix un d’Verbindung, net um lafende System

Am Verbindungseditor hält d’WireGuard-Säit de Peer a seng AllowedIPs, an d’IPv4-Säit hält zousätzlech Routen. Eng Route déi do bäigefüügt gëtt iwwerlieft Neiverbindungen, well se zum Profil gehéiert. Op der Kommandozeil ass d’Gläichwäertegkeet eng Route un d’Verbindung ze hänken an der Form mat enger eideler Paart, an duerno d’Verbindung erof an erop ze huelen, sou datt d’Ännerung ugewannt gëtt.

Wielt de schmuelste Prefix, deen d’Hosten deckt déi Dir braucht. D’Beispill /8 vum Provider ze kopéieren kann lokal Beräicher verschlécken, déi zoufälleg dobannen leien, an d’Feeler déi doraus entstinn gesinn aus wéi en futti Tunnel an net wéi eng ze breet Route.

Split-Tunneling gëtt vun der Prefixlëscht decidéiert

Et gëtt kee Schalter fir Split-Tunnel; d’Prefixlëscht ass d’Decisioun. E Peer mat engem Beräich fir de Büro-LAN an engem fir en Labo-Netzwierk schéckt genee déi Ziler duerch den Tunnel an löscht alles anescht a Rou. Een eenzegen Host brauch en /32, an iwwerlappend Beräicher op zwou Plaze brauchen Host-Prefixe bis een en Ënnersystem nei nummeréiert.

D’Wiel, näischt duerch den Tunnel ze schécken, féiert déiselwecht Decisioun bis an d’Extrem: eng minimal Lëscht hält d’Verbindung uewen, wärend gewéinleche Verkéier säin übleche Wee hält. Schreift d’Absicht op, well soss de nächste Lieser déi kuerz Lëscht als Verseen hëlt an se hëllefräich erweidert.

Ee Besëtzer fir d’Routentabelle

wg-quick an de NetworkManager gleewen allebéid, si besëtzen d’Route vun der Interface. Importéiert eng Konfiguratioun déi fir wg-quick geschriwwe gouf a start duerno och de wg-quick-Service, an Dir kritt duebel oder konfliktär Entréeën, deene säi Verhalen dovun ofhängt, wéien als Lescht gelaf ass. Wielt een eenzege Besëtzer a läscht deen aneren: wann de NetworkManager d’Verbindung verwalt, deaktivéiert d’wg-quick-Eenheet fir déi Interface, a setzt ni en zweete Profil fir dat selwecht Gerät derbäi.

Wann d’Opdeelung engem physeschen Adapter amplaz engem Zil muss nolauschteren, sidd Dir an de Policy-Routing iwwergaang, an de Policy-Routing brauch och een eenzegen Auteur. Verifiéiert andeems Dir ip route get widderhëllt an duerno en Host bannent dem wäite Prefix erreecht mat eppes, wat d’Quelladress dréckt déi en ausgewielt huet. Préift IPv6 an DNS getrennt, wann de Profil eng vun deenen zwee dréit.