WireGuard-Standardroute-Schleef: fannt den Endpunktspad

Eng Standardroute schéckt dem Tunnel seng eege verschlësselt Paketen zeréck an hien selwer. Liest den Endpunktspad, setzt eng Host-Route derbäi, da verifizéiert a maacht et réckgängeg.

D’Interface kënnt erop, d’Peer-Konfiguratioun gesäit richteg aus, an et gëtt ni en Handshake fäerdeg. Eng Standardroute duerch den Tunnel dobäizemaachen ass de Schrëtt, deen dat dacks verursaacht: déiselwecht Routentabelle entscheet elo, wou dem Tunnel seng eege verschlësselt Pakete solle goen, an d’Äntwert déi se produzéiert geet zeréck an den Tunnel. Näischt kann dat baussecht Paket droen, dat dat bannenzegt droe géif, also bleift d’Verbindung stoen, ier se ufänkt. D’Reparatur ass kleng, awer se huet eng Uerdnung, an d’Verifikatioun ass méi wichteg wéi d’Ännerung.

Bestätegt d’Schleef, ier Dir eng Route ännert

Liest déi aktuell Endpunktadress vum Peer an dann freet de Routing-Stack, wou e Paket op déi Adress géif goen. Wann d’Äntwert d’Tunnelinterface nennt, ass d’Schleef bestätegt an et brauch keng weider Diagnos. Späichert béid Ausgaben am Ännerungsprotokoll, ier Dir eppes ufässt, well de Verglach no der Reparatur déiselwecht zwou Kommandoen ass. Eng Schleef ass net subtil, wann ee se gesäit; d’Schwieregkeet ass, datt d’Interface gesond ausgesäit, wärend et geschitt.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Huelt d’Politiksregelen an déi Opnam op. Eng Standardroute déi an der Haapttabelle richteg ausgesäit, kann nach ëmmer géint eng Regel verléieren, déi fir markéierten oder onmarkéierten Traffic eng aner Tabelle wielt, an d’Schleef kënnt erëm mat enger Routentabelle déi an der Rei ausgesäit.

Liest den Endpunktspad, net den Tunnelspad

Den Endpunktspad ass d’Route déi déi verschlësselt Datagrammen huelen, bis op d’ëffentlech Adress vum Peer, an en muss baussen dem Tunnel bleiwen, soulaang den Tunnel existéiert. Den Tunnelspad ass alles wat dem Peer erlaabt ass ze droen. Dës zwou Weeër deelen eng Routentabelle, an genau dofir kann een eenzegen Alles-faangen-Andro d’zwee anenee kollabéieren. Den Tunnel-Traffic an den eegene Transport vum Tunnel ze trennen ass dat ganzt Designproblem, an all ënnerstëtzt Geschier léist et irgendwou e bëssen anescht.

Kontrolléiert béid Adressfamilljen getrennt, wann d’Interface béid dréit. Eng funktionéierend IPv4-Ausnam seet näischt doriwwer, ob den IPv6-Endpunkt nach erreechbar ass, an eng gemëscht Konfiguratioun kann funktionéieren schéngen, bis d’IPv6-Adress vum Peer ausgewielt gëtt.

Stellt den Endpunktspad mat enger zesummenhängender Ännerung erëm hier

Et gëtt zwou ënnerstëtzt Approchen, an se ze mëschen ass de Wee wéi eng funktionéierend Ariichtung onberechenbar gëtt. Déi éischt ass d’Geschier, deem d’Interface gehéiert, den ganzen Tunnel verwalten ze loossen: wg-quick huet eng eegen Behandlung fir e Standard-Peer-Beräich, déi eng separat Tabelle, Politiksregelen an eng Socket-Mark installéiert, wat déi baussenzeg Paketen aus dem Tunnel eraushält. Loosst déi Mechanik intakt, amplaz d’Halschent dovun vun Hand nozebauen. Eng Ariichtung déi eng manuell bäigefüügt Standardroute mat engem Manager mengt, deen schonn Marken a Regelen installéiert, huet d’Tendenz nom Neiverbannen ze scheitern, wann de Manager den Zoustand iwwerschreift, deen de manuelle Schrëtt ugeholl huet.

Déi zweet ass en manuellen Design, an deem den Endpunkt eng explizit Host-Route iwwer de physesche Gateway kritt. Setzt déi Route virun der Standard derbäi, ersetzt amplaz dobäizesetzen, sou datt en ale Andro net ka gewannen, a bestätegt duerno d’Opfro.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Verifizéiert, an da behält e Wee zeréck

En Handshake-Zäitstempel dee virugeet ass deen éischte Beweis, an en ass méi staark wéi eng Interface déi just existéiert. Follegt him mat engem Uwendungs-Test duerch den Tunnel, da bréngt d’Interface bewosst erof a bestätegt, datt den Host an en notzbaren Zoustand zeréckkënnt, amplaz eng Standardroute ze halen déi op näischt weist. Dee leschte Schrëtt sprange Leit, an en entscheet, ob en Neistart d’Maschinn ouni Verbindung léisst.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Virun all deem späichert den aktuellen Routing-Zoustand a vergewëssert Iech, datt et en Zougangswee gëtt, deen net vum Tunnel ofhänkt: eng Konsole, eng Out-of-Band-Managementadress oder e Kolleeg viru Plaz. Eng Maschinn op Distanz déi hir Standardroute verléiert, kann net iwwer d’Verbindung erëmgeholl ginn déi se just verluer huet, an dee sécheste Runbook-Schrëtt ass deen, deen virum éischte Kommando gemaach gëtt.

Ähnlech Artikelen