WireGuard-Peer verléisst iwwer de falschen WAN: fënnef Kontrollen an der Rei

Op engem Gateway mat méi Uplinks kënnen den Handshake an de weidergeleet Flux verschidde Weeër huelen. Gitt duerch Regel, Markéierung, Iwwersetzung an Äntwert an där Rei.

Zwéi Uplinks, ee Gateway an ee WireGuard-Peer, deem säin Trafik ëmmer erëm op der Reserve-Linn optaucht. Den Handshake bleift déi ganzen Zäit gesond. Dowéinst ass et einfach, d’Symptom falsch als WireGuard-Feeler ze liesen amplaz als Routingfeeler.

Maacht d’Kontrollen hei drënner an der Rei. Jidderee huet eng Stoppbedingung, a virzesprangen ergëtt meeschtens eng selbstsécher falsch Äntwert.

Trennt den Handshake vum weidergeleetem Flux

Den verschlësselten Peer-Austausch huet eng Endpunkt-Route zur ëffentlecher Adress vum Server. Weidergeleete Client-Trafik huet en anert Zil a kann duerch Markéierungen oder Politik-Regelen ausgewielt ginn. Et sinn zwou Routing-Entscheedungen, déi eng Interface deelen. Eng dovun als Beweis iwwer déi aner ze behandelen ass den éischte Feeler.

Stoppt esoubal wéi Dir Iech dobäi erwëscht, vum Handshake aus ze schléissen. Et ass just e Beweis iwwer den Endpunktwee.

Liest d’Politik-Regel, net den Default-Tabelle

En Default-Tabelle weist, wat geschitt wann keng Politik-Regel passt. Op engem Gateway, deen no Quell, Markéierung oder Zil routet, lieft déi entscheedend Regel soss anzwousch. Den einfachen Tabelle kann ganz raisonnabel ausgesinn, wärend déi richteg Wiel driwwer getraff gëtt.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Liest d’Politik-Regelen an d’Tabellen, op déi si weisen. Bestätegt dann, wéi eng Regel zu Ärem Testflux passt. Eng Regel, déi op eng Interface verweist, déi den intendéierten Uplink net méi dréit, ass e Fonnt, keen Detail. D’Routensich um Enn weist d’Äntwert vill méi séier wéi en Tabelle liesen an ze roden.

Kontrolléiert d’Markéierung an d’Iwwersetzung zesummen

Politik-Routing baséiert op enger Paketmarkéierung, déi méi fréi an der Kette gesat gouf. Wann d’Markéierungsregel Ären Trafik verpasst, fält de Flux an den Haapttabelle duerch a verléisst iwwer wat och ëmmer do als Default steet. Weidergeleet Pakete sprange meeschtens Ketten iwwer, déi fir lokal generéierten Trafik geschriwwe goufen.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

D’Iwwersetzung muss zum Uplink passen, deen de Flux dréit. Eng Regel, déi op d’Haaptadress iwwersetzt, wärend de Paket iwwer d’Reserve-Linn erausgeet, produzéiert Äntwerten, déi un eng Interface adresséiert sinn, déi de Flux ni benotzt huet. Kontrolléiert d’Interface-Bedingung vun der Iwwersetzungsregel selwer. Eng onbedéngt Regel funktionéiert, bis den zweeten Uplink benotzt gëtt, an da versot se op eng Manéier, déi intervall wierkt.

Passt op, wéi eng Interface d’Äntwert dréit

Huet op béiden Uplinks of, wärend eng Ufro leeft. Nottéiert, wéi eng Interface d’Ufro an déi aner d’Äntwert dréit. Asymmetresch Weeër si vill méi einfach ze gesinn wéi virauszesoen.

Wann d’Äntwert iwwer de falschen Uplink ukommt, ass de Problem vu WireGuard op d’Verbindungsverfolgung oder d’Iwwersetzung gewiesselt. Keng Ännerung un der Peer-Konfiguratioun wäert dat reparéieren.

Ännert eng Saach mat engem Wee zréck

Halt Konsol- oder Out-of-Band-Zougrëff, ier Dir Politik-Regelen op engem Gateway beaarbecht. Maacht eng Ännerung, test dee selwechten autoriséierten Zil, verbënnt Iech dann nei a bestätegt, datt den Handshake nach ëmmer den intendéierten Endpunktwee benotzt. Füügt en numereschen Test op der zweeter Adressfamill dobäi, well eng Politik déi nëmme fir v4 gilt, dee selwechte Feeler op léisst.

Nottéiert, wéi en Uplink all Flux benotzt huet. Dee Rekord mécht den nächsten Bericht zu enger Kontroll vun zwou Minutten amplaz engem ganzen Nomëtteg. dem WireGuard seng Notizen iwwer Namespaces a Routing beschreiwen, wéi een den Endpunktwee bewosst vum getunnelten Trafik trennt, wat meeschtens méi propper ass wéi en Ëmwee mat Default-Route ze kopéieren.

Ähnlech Artikelen