WireGuard am Netzwierk-Nummraum: firwat de Socket hannendrun bliwwen ass

D’Interface steet an deem Nummraum, deen Dir wollt, d’Applikatioun ass dru gebonnen, an et erschéngt awer ni Tunneltrafic. Dat ass d’Zeeche vun engem WireGuard-Apparat am Linux-Kär, deen an engem Nummraum erstallt an an en aneren verréckelt gouf: d’Interface ass verréckelt, hire verschlësselte UDP-Socket net. Béid mussen um richtege Plaz sinn, éier den bannenzege Trafic eng Roll spillt. D’Kontroll ass séier, soubal ee weess, datt een zwee Kontexter amplaz vun engem ukucke muss.

D’Symptom: richtege Nummraum, keng Paketen

Bannen am Nummraum gesäit den Tunnel gesond aus. Den Apparat existéiert, d’Adressen si zougewisen, an d’Konfiguratioun vum Partner ass do. Bausse geschitt deen erwaarten UDP-Austausch ni op der Interface, déi Dir observéiert hutt, an déi aner Säit mellt, datt et keen Handshake gouf.

De Grond ass, datt déi bannenzeg Pakete vun der Applikatioun den verréckelten Apparat erreechen, an den Apparat probéiert se iwwer ee Socket ze schécken, deen zu engem aneren Netzwierkkontext gehéiert. Déi ënnerluecht Route, déi en notzt, an all Firewall-Reegel, déi drop ugewannt gëtt, sinn déi an deem Nummraum, an deem den Apparat erstallt gouf.

Dat ass kee Feeler beim Verréckelen a keng falsch Konfiguratioun vum Partner. Sou funktionnéiert d’Kärimplementatioun, an d’Dokumentatioun iwwer Nummraim fir WireGuard beschreift d’Erstellungsreegel direkt.

Firwat de Socket eng Gebuertsplaz huet

En WireGuard-Apparat besëtzt ee UDP-Socket fir säin verschlësselten Transport, an dee Socket gëtt an deem Nummraum opgemaach, an deem den Apparat erstallt gëtt. D’Interface mat engem Linkbefehl ze verréckelen hëlt den Apparat mat, deen een gesäit, léisst awer den Transport do, wou en ugefaangen huet. Duerno hunn déi zwou Objeten ënnerschiddlech Besëtzer.

D’Folleg ass liicht ze iwwersinn, well déi zwou Hälften op verschiddenen Plaze gepréift ginn. Déi bannenzeg Route gëtt an deem Nummraum decidéiert, an deem d’Applikatioun leeft, an déi baussenzeg Route gëtt do decidéiert, wou de Socket wunnt. Nëmmen eng vun deenen zwee ze préifen ergëtt eng selbstsécher, awer falsch Schlussfolgerung. Béid ze préifen hält d’Enquête meeschtens an engem Duerchgang of.

Erstellt en do, wou Dir de Socket wëllt

D’Léisung ass, den Apparat bannen am Zilnummraum ze erstellen, amplaz en dobaussen ze erstellen an ze verréckelen. Ugeholl, ee geneemten Nummraum existéiert schonn an den Numm ass fräi:

ip netns exec vpn-apps ip link add wg-demo type wireguard
ip netns exec vpn-apps wg show

Elo gehéieren d’Interface an hire Socket zu deem Kontext, also sinn déi ënnerluecht Route an déi uwendbar Filterregele déi, déi do konfiguréiert sinn. Wann den Design déi hell Säit soss wou brauch, setzt fir d’éischt déi ënnerluecht Interface an den Nummraum an erstellt duerno den Tunnel. D’Uerdnung ass en Deel vum Design, keen Implementatiounsdetail.

Behandelt se als Netzwierkverwaltungsbefehler, net als Rezept. Si erstellen en Apparat a weisen den Zoustand; Schlësselen, Partner, Adressen a Routen mussen nach ëmmer aus enger geneemter Konfiguratioun kommen, an eng bestoend Produktiounsinterface soll een ni an engem Beispill ersetzen.

Liest béid Säite vum Wee

Soubal den Apparat um richtege Plaz ass, iwwerpréift déi zwou Decisiounen eenzel. Fänkt mat der bannenzeger Opléisung aus dem Kontext vun der Applikatioun un, an da préift de baussenzege Wee aus dem Kontext, deem de Socket gehéiert:

ip netns exec vpn-apps ip route get 10.30.0.9
ip netns exec vpn-apps wg show
tcpdump -ni any udp port 51820

Wann déi bannenzeg Opléisung duerch den Tunnel geet an d’baussenzeg Opzeechnung den verschlësselten Austausch weist, stëmmen déi zwou Hälften iwwerenee. Wann d’Opzeechnung eidel ass, ass de Socket nach soss wou, oder déi ënnerluecht Route a sengem Nummraum erreecht den Endpunkt net.

Eng weider Kontroll gehéiert an den Dossier: wéi den Apparat no engem Neistart erstallt gëtt. E Manager, deen d’Interface mat engem aneren Erstellugskontext nei uleet, ännert d’Gebuertsplaz vum Socket. Eng manuell Verréckelung, déi eemol funktionéiert huet, ass kee Beweis fir de geréierten Wee.