WireGuard: keng Route zum Peer no enger Subnetzännerung — zwee Auswee

Den Handshake ass frësch an wg show, den Endpunkt ass richteg, d’Schlësselen hunn ni gewiesselt — an ping seet nach ëmmer, et gëtt keng Route zum Peer. Dir hutt d’Tunnelsubnetz virun enger Stonn geännert. Dëst Symptom ass d’Signatur vun enger Präfix-Diskrepanz an net e Schlësselproblem: WireGuard huet den Handshake fäerdeg gemaach an duerno d’Donnéeë verkaaft, well eng Quelladress net méi mat deem iwwerenee stëmmt, wat deen empfangende Peer akzeptéiert. Et gëtt zwee verständlech Weeër, eng Subnetzännerung ëmzesetzen, an si schécken op verschiddene Plazen.

Zwee Weeër d’Ännerung ëmzesetzen, a wat jiddweree kascht

Optioun A ass d’Ëmnummeréierung op der Plaz: d’Interfaceadress, d’Peer-Bereicher, d’Routen an all Kopie vun der Konfiguratioun änneren, dann nei lueden. Optioun B ass eng zweet Interface um neie Präfix nieft déi al bauen, d’Peeren eriwwerzéien an déi al Interface ewechhuelen, soubal den Trafik wierklech geplënnert ass.

Den hallef ugewannte Zustand mécht Optioun A geféierlech, well en net futti ausgesäit. D’Interface kënnt erop, den Handshake geléngt, an et schléit just de Datewee feel. Optioun B kascht méi Aarbecht, awer hält en funktionéierende Wee lieweg, wärend Dir all Referenz fannt.

Wat op Ärer Säit zesummen muss plënneren

Véier Saachen um lokalen Host beschreiwen déiselwecht Subnetz, an eng z’änneren ass all z’änneren: d’Adress vun der Interface, d’AllowedIPs vun all Peer, d’Route déi de System fir déi Destinatiounen notzt, an alles wat de Manager a mengem Numm installéiert. Mat wg-quick ginn déi lescht zwee all Kéier aus der Konfiguratioun generéiert, wann d’Interface eropkënnt, also setzt eng veralt Kopie dee ale Präfix roueg erëm an.

Vergläicht dat Konfiguréiert mam Liewendem, amplaz engem vun deenen zwee ze vertrauen:

wg show
wg showconf wg0
ip addr show wg0
ip route get 10.90.0.5

D’Routensich ass de Schrëtt, dee Leit iwwersprangen. Si äntwert, wat de Kernel fir eng Destinatioun wierklech géif maachen, och eng méi spezifesch Route, déi e Manager oder eng Container-Ëmfeld hannerluecht huet. Wann et eng aner Interface wéi den Tunnel mëllt, ass d’Konfiguratioun net de Problem.

Fir eng Interface déi leeft, setzt déi geännert Datei ëm, ouni den Tunnel ofzerappen:

wg syncconf wg0 <(wg-quick strip wg0)

Dat aktualiséiert Peeren a Beräicher op der Plaz. Et aktualiséiert net d’Interfaceadress oder d’Routen, well dat keng WireGuard-Astellungen sinn — also brauch eng Ëmnummeréierung nach ëmmer eng nei Interface oder eng Adressännerung mat ip, an duerno eng nei Kontroll vum Routing.

Wat um wäiten Enn zesummen muss plënneren

Hei stierft eng Subnetzännerung meeschtens. AllowedIPs ass net nëmmen en Routing-Hiwäis; et ass och d’Lëscht vun de Quelladressen, déi e Peer däerf presentéieren. Wann Dir Cliente ëmnummeréiert an d’AllowedIPs vum Server um ale Präfix loosst, akzeptéiert de Server den Handshake, kritt d’verschlësselt Paketen a verwërft se, well d’bannenzeg Quell mat kengem Beräich iwwerenee stëmmt, dee se mat deem Peer verbënnt. Et gëtt kee Feeler geloggt, an de Client gesäit en Timeout.

Also aktualiséiert d’Empfangssäit bewosst: den Peer-Andrag um Server muss den neie Clientpräfix opzielen, dem Server seng eege Réckroute muss fir dee Präfix op den Tunnel weisen, an all Ënner-Netzwierk hannert dem Server muss deen neie Wee léieren. Firewall-Politik, déi dee ale Beräich genannt huet, brauch déiselwecht Behandlung, an alles wat eng Quellbaséiert Auswiel mécht, och.

D’Diagnostik, déi déi zwee Feeler trennt, ass bëlleg. En neien Handshake ouni Donnéeën heescht, den Tunnel steet an d’bannenzeg Adresséierung ass net eens. Ganz keen Handshake heescht, Dir kuckt op Erreechbarkeet oder Schlësselen. Rotéiert keng Schlësselen wéinst engem Präfixproblem; dat setzt dat eenzegt zréck, wat funktionéiert huet.

Veralt Kopien, déi Är Ännerung iwwerliewen

Eng Datei änneren ass net datselwecht wéi de lafende System z’änneren, an d’Kopieë sinn méi wéi d’Leit erwaarden: d’Unit oder de Manager, deem d’Interface gehéiert, en zweete Profil mam selwechten Numm an engem aneren Dossier, e Container mat senger Konfiguratioun an en Image agebaken, eng Router-UI mat senger eegener geännerter Versioun an eng Client-App, déi beim Start en gespaarten Tunnel nei importéiert. Jiddweree vun hinnen kann deen ale Präfix restauréieren, nodeems Är Ännerung fäerdeg ausgesäit.

Nimm reesen och. Wann d’numeresch Route funktionéiert, awer den Hostnumm feelt, weist en internen DNS-Andrag oder eng Servicekonfiguratioun nach ëmmer op déi al Tunnelsadress. Fléckt d’Referenz, amplaz all Peer-Beräich ze verbreeden, wat de richtege Problem iwwerdeckt an gläichzäiteg d’Quell-ACL vergréissert.

Hält een Erhuelungswee op, wärend Dir schafft: en zweete Wee op den Host, eng seriell Konsole oder eng geplangte Réckroll vun de Konfiguratiounsdateien. Eng Tunnelsännerung, déi Iech aus der Maschinn ausschléisst, déi Dir ännert, ass dee gewéinlechste Wee, wéi dës Aufgab en Owend gëtt.

Tëschent deenen zwee wielen, an den Iwwergank kontrolléieren

Wielt A, wann Dir all Peer besëtzt, d’Zuel kleng ass an eng kuerz Ënnerbriechung akzeptabel ass. Wielt B, wann d’Peeren wäit Hänn sinn, déi Dir net kontrolléiert, wann eng Verbindung tëschent Standplazen muss stoen bleiwen, oder wann Dir net garantéiere kënnt, datt all Kopie an engem Duerchgang aktualiséiert gëtt. An deem Fall setzt den neie Präfix op béid Interface, réckelt d’Peeren een nom aneren, kuckt den Trafik op der neier a läscht erscht duerno déi al Interface an hir Routen.

Bei béide Méiglechkeeten ass d’Ännerung fäerdeg, wann véier Kontrollen duerchginn: den Handshake ass frësch, d’Routensich fir eng Destinatioun vum neie Präfix nennt den Tunnel, eng Belaaschtung vun e puer honnert Byte geet a béid Richtungen iwwer, an datselwecht gëllt no engem Neistart vum Host oder vum Manager. Den wg(8)-Handbuch ass d’Referenz dofir, wat AllowedIPs an all Richtung bedeit, an et ass der Méi wäert, et nach eng Kéier ze liesen, ier Dir e Beräich verbreet, fir datt e Symptom verschwënnt.

• Fréschen Handshake an keng Donnéeën: kuckt d’AllowedIPs beim Empfänger, ier Dir d’Schlësselen ufänkt.
• D’Routensich weist op déi falsch Interface: e Manager oder Container besëtzt d’Route, net Är Datei.
• Numeresch Adress gutt an den Hostnumm futti: eng al Referenz, keng Routing-Schleef.
• D’Ännerung ass erscht komplett, wann en Neistart nach ëmmer den neie Präfix notzt.