WireGuard PersistentKeepalive: halen d’NAT-Mapping lieweg

D’Hauskëscht mécht den Tunnel op an erreecht de Cloud-Server ouni Problemer. De Cloud-Server kann d’Hausapplikatioun eng oder zwou Minutten erreechen, nodeems d’Hauskëscht fir d’lescht eppes geschéckt huet, an dann hält et op. Am WireGuard-Log erschéngt näischt, et gëtt kee Handshake-Fehler gemellt, an den Tunnel nei starten hëlleft et kuerz. Dat Muster ass eng Mapping déi ofleeft, keen ënnerbrachente Tunnel, an de Guide hei drënner bestätegt dat, ier eppes geännert gëtt.

Bestätegt, datt d’Muster en Ofleefe bei Inaktivitéit ass

Den ënnerscheedende Detail ass den Timing. Wann déi ëmgedréint Verbindung direkt funktionéiert nodeems de Hauspeer Traffic geschéckt huet an no engem rouege Intervall feelt, ass de Wee an der Rei an den Zoustand an der Mëtt net. Wann et ni funktionéiert huet, och direkt nom Traffic, dann ass dat déi falsch Diagnos.

sudo wg show wg0 latest-handshakes
sudo wg show wg0 endpoints
sudo wg show wg0 transfer

Fëllt déi éischt zwee direkt aus nodeems de Hauspeer eppes geschéckt huet, waart fënnef Minutten a fëllt se nach eng Kéier aus. En Handshake-Zäitstempel deen no Plang erneiert gëtt ouni neien Endpunkt seet Iech, datt den Tunnel lieft. Wat sech geännert huet, ass d’Fäegkeet vun onverlaangte Paketen, vu baussen unzekommen, wat eng Eegenschaft vum Wee an net vum Tunnel ass.

Maacht dann eng ëmgedréint Versich a kuckt op d’Transfärzähler. Wann d’Cloudsäit Bytes schéckt an d’Haussäit keng kritt, huet de Paket de Cloud verlooss an ass ënnerwee an engem Apparat mat Zoustand gestuerwen. Dat ass d’Signatur no där Dir sicht. Wann béid Zähler sech beweegen, huet den Tunnel de Paket geliwwert an d’Applikatioun ass verdächteg.

Setzt de keepalive op de Peer hannert dem Router

Dauerhaft keepalives halen eng NAT-Mapping an all Firewall-Zoustand lieweg andeems se no Plang e klengt authentifizéiert Paket schécken. D’Astellung gehéiert op d’Maschinn hannert dem Router, an hirem Andrag fir de wäite Peer, well et déi Säit ass, där hire Paket deen erausgeet den Zoustand schaaft.

[Peer]
PublicKey = <cloud peer public key>
AllowedIPs = 10.71.0.1/32
PersistentKeepalive = 25

Füügt se an de bestehenden Peer-Abschnitt an. En zweeten Block mat deem selwechte ëffentleche Schlëssel dobäizemaachen ass kee gültege Wee fir Optiounen dobäizemaachen, an wg-quick wäert se net fir Iech fusionéieren. Déi dokumentéiert 25 Sekonne sinn e Beispill, dat gewielt gouf fir ënner üblechen UDP-Zäitlimiten ze leien, net e Wäert mat enger spezieller Bedeitung.

Déiselwecht Direktiv op d’Cloudsäit setzen hëlleft dësem Problem net. D’Pakete vun deem Peer kommen schonn vun enger ëffentlecher Adress, also gët et keng Mapping ze behalen an der Richtung déi zielt. Et füügt Traffic dobäi an ännert näischt.

Liest d’Timer amplaz en Intervall ze roden

keepalives funktionéieren, well se méi dacks ukommen wéi den Zoustand ofleeft. Doduercher ass d’Zäitlimit déi Zuel déi Dir wierklech braucht, an ënner Linux kann een se um Apparat liesen deen d’Iwwersetzung mécht:

sysctl net.netfilter.nf_conntrack_udp_timeout
sysctl net.netfilter.nf_conntrack_udp_timeout_stream
sudo conntrack -L -p udp --dport 51820

Den éischte Wäert ass d’Zäitlimit fir en UDP-Floss deen een nëmmen an enger Richtung gesäit, an den zweete gëllt nodeems Äntwerten observéiert goufen. Béid sinn normalerweis kuerz, an eng Mapping déi stëll gëtt wäert deem follegen wat op Äre Floss zoutrëfft.

Vergläicht déi Zuel mat Ärem Intervall. E keepalive vun 25 Sekonnen ënner enger Zäitlimit vun 30 Sekonnen funktionéiert; deeselwechte keepalive ënner enger Zäitlimit vun 15 Sekonnen funktionéiert net. Keng Quantitéit vu Widderhuelunge ännert déi Arithmetik. E puer Konsumentrouteren an Handysoperateure benotze vill méi kuerz Wäerter wéi de Linux-Standard, dofir feelt eng Konfiguratioun déi an engem Netz funktionéiert an engem aneren.

Préift de Lauschterer an d’Firewall getrennt

Eng lieweg Mapping ass néideg an net genuch. D’Applikatioun op der Hauskëscht muss op der richteger Adress lauschteren, an d’Firewall vum Host muss de Paket no der Entschlësselung erlaben.

sudo ss -lntup | grep 8080
sudo wg show wg0 allowed-ips
curl -sS -m 5 http://10.71.0.2:8080/health

Wann de Socket nëmmen un d’Adress vum physikaleschen Interface gebonnen ass an net un d’Adress vum Tunnel, ginn d’Pakete déi um Tunnel ukommen verwise ier d’Firewall iwwerhaapt gefrot gëtt. Dee Feeler gesäit vun der Cloudsäit genee wéi e Mapping-Problem aus, an hien iwwerlieft all keepalive-Upassung.

D’Prüfung vun der erlabter Lëscht ass an der anerer Richtung genee sou wichteg. De Cloudpeer muss d’Adress vum Haussentunnel als Quell erlaben wann hie wëll äntweren, an de Hauspeer muss d’Cloudadress als Destinatioun erlaben. keepalive-Pakete sinn authentifizéierten Traffic a si wenden déi selwecht Regelen un, dofir kann e keepalive deen fonctionnéiert schéngt mat enger Applikatioun déi net fonctionnéiert zesumme bestoen.

Rollt d’Ännerung aus a kennt hir Grenzen

Wend d’Astellung un, start den Interface nei wann dat Är Update-Method ass, a widderhëlt dann den Inaktivitéitstest amplaz vum direkten Test. Waart méi laang wéi d’Zäitlimit déi Dir virdru gelies hutt, maacht eng ëmgedréint Ufro a bestätegt datt d’Zähler sech op béide Säiten beweegt hunn.

Notéiert den Intervall an d’Zäitlimit déi Dir gemooss hutt niewendrun. Eng zukünfteg Ännerung vun der Router-Firmware, oder e Wiessel op eng Handysverbindung, kann d’Zäitlimit änneren. D’Notiz ass dat wat et engem erlaabt de Wäert erëm ofzeleeden amplaz en ze kopéieren. Zwee Zuelen op enger Linn spuere spéider eng ganz Enquête.

Dauerhaft keepalives schützen den Zoustand. Si maachen kee Port op, si fügen keen Andrag an d’erlaabt Lëscht dobäi, a si loossen kee Lauschterer erschéngen. Wann déi ëmgedréint Verbindung guer net funktionéiert, läit de Feeler an engem vun deenen dräi, an de WireGuard-Schnellstart beschreift d’keepalive-Astellung an deene selwechte knappen Termen.