WireGuard AllowedIPs: maršruts, ko NetworkManager tā arī nepievienoja

Rokas paspiešanas skaitītājs atjaunojas, saskarne saglabā savu adresi, un ping uz otru pusi nekur nenonāk. Šī kombinācija mulsina cilvēkus, jo strādājoša rokas paspiešana šķiet kā pierādījums, ka tunelis ir gatavs. Bet tā nav: tunelis var būt pilnībā saskaņots un tomēr tam var nebūt neviena maršruta, kas novirzītu satiksmi tajā, un tie ir divi atsevišķi darbi, ko veic divas atsevišķas stāvokļa daļas. Labojums pilnībā ir atkarīgs no tā, kura no abām trūkst, tāpēc pirmais solis ir to noskaidrot.

wg-quick veic abus bez lūgšanās. Iebūvētais NetworkManager WireGuard atbalsts arī pēc noklusējuma instalē peer maršrutus, kas sašaurina aizdomās turamos līdz izslēgtai opcijai, citai maršrutēšanas tabulai vai konfigurācijai, kas importēta ar kaut ko citu.

Apstipriniet tuneli, pirms dzenaties pakaļ maršrutam

wg show izdrukā saskarni, peer, galapunktu un pēdējās rokas paspiešanas vecumu, un ip addr show apstiprina, ka adrese ir. Nesenā rokas paspiešana nozīmē, ka atslēgas, galapunkts un UDP ceļš darbojas. Viss salūzušais atrodas zemāk par tiem: maršrutēšana, filtrēšana vai vārdu atrisināšana.

Pēc tam pajautājiet kodolam, ko tas darītu ar īstu galamērķi, nevis hipotētisku: ip route get 10.42.7.9. Atbilde nosauc izejošo saskarni un avota adresi, ko pakete nestu. Kad tā nosauc fizisko adapteri, pakete nekad neiekļūst tunelī, lai cik veselīga izskatītos rokas paspiešana.

AllowedIPs ir filtrs un maršrutu saraksts

AllowedIPs prefiksi veic divus darbus. Tie izvēlas, kurš peer nes izejošo galamērķi, un tie pārbauda ienākošo pakešu avota adresi, kas ir šifrētās atslēgas maršrutēšanas robeža. wg-quick tie arī vada automātisku maršrutu instalēšanu, un tieši šī papildu uzvedība ir iemesls, kāpēc viena un tā pati konfigurācija darbojas no termināļa, bet ne no darbvirsmas klienta.

Raksta aiz muguras esošajā gadījumā profils tika importēts ar trešās puses spraudni, nevis ar iebūvēto atbalstu, un saskarne pacēlās bez prefiksa maršruta. Tabulas uzskaitījums to parāda uzreiz: ip route show satur tikai saskarnes adreses savienoto maršrutu un neko tālajam diapazonam.

Pajautājiet, vai peer maršruti vispār ir iespējoti

Izlasiet iestatījumu, pirms kaut ko maināt: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Kad peer-routes rāda no, atbalstītais labojums ir nmcli connection modify work-wg wireguard.peer-routes yes, kam seko atkārtota savienošana. Tā vietā pievienojot statisku maršrutu, tas darbojas līdz nākamajai aktivizēšanai un pēc tam klusi pazūd. Šī pazušana ir pazīme: maršrutu, kas katru rītu atgriežas kā mīkla, profils neinstalē.

Ja opcija jau ir iespējota, pārbaudiet, vai prefikss dzīvo citā tabulā, izmantojot ip route show table all | grep 10. Maršruts tabulā, kas nav galvenā, nav pazudis, tas vienkārši nav redzams meklējumam, kas skata tikai galveno tabulu. Labojiet politikas maršrutēšanu, nevis kraujiet virsū dublētu ierakstu.

Pievienojiet prefiksu savienojumam, nevis strādājošajai sistēmai

Savienojumu redaktorā WireGuard lapa tur peer un tā AllowedIPs, un IPv4 lapa tur papildu maršrutus. Tur pievienots maršruts pārdzīvo atkārtotas savienošanas, jo tas pieder profilam. Komandrindā ekvivalents ir pievienot maršrutu savienojumam tukšas vārtejas formā un pēc tam nolaist un pacelt savienojumu, lai izmaiņas stātos spēkā.

Izvēlieties šaurāko prefiksu, kas nosedz vajadzīgos resursdatorus. Piegādātāja piemēra /8 kopēšana var aprīt vietējos diapazonus, kas tajā nejauši atrodas, un radušās kļūdas izskatās kā salauzts tunelis, nevis kā pārāk plats maršruts.

Sadalīto tunelēšanu nosaka prefiksu saraksts

Sadalīta tuneļa slēdža nav; prefiksu saraksts ir lēmums. Peer ar vienu diapazonu biroja LAN un otru laboratorijas tīklam sūta tieši šos galamērķus caur tuneli un atstāj visu pārējo mierā. Vienam resursdatoram vajag /32, un diapazoniem, kas pārklājas divās vietās, vajag resursdatora prefiksus, līdz kāds pārnumurē apakštīklu.

Izvēle neko nesūtīt caur tuneli noved to pašu lēmumu līdz robežai: minimāls saraksts notur saiti augšā, kamēr parastā satiksme turpina savu ierasto ceļu. Pierakstiet nodomu, jo citādi nākamais lasītājs īso sarakstu uzskatīs par nolaidību un palīdzīgi to paplašinās.

Viens īpašnieks maršrutu tabulai

wg-quick un NetworkManager abi uzskata, ka tiem pieder saskarnes maršruti. Importējiet konfigurāciju, kas rakstīta wg-quick, un pēc tam arī palaidiet wg-quick pakalpojumu, un jūs iegūsiet dublētus vai pretrunīgus ierakstus, kuru uzvedība ir atkarīga no tā, kurš darbojās pēdējais. Izvēlieties vienu īpašnieku un noņemiet otru: ja NetworkManager pārvalda savienojumu, atspējojiet šīs saskarnes wg-quick vienību un nekad nepievienojiet otru profilu tai pašai ierīcei.

Kad sadalījumam jāseko fiziskajam adapterim, nevis galamērķim, jūs esat pārgājuši uz politikas maršrutēšanu, un politikas maršrutēšanai arī vajag vienu autoru. Pārbaudiet, atkārtojot ip route get, un pēc tam sasniedzot resursdatoru tālā prefiksa iekšienē ar kaut ko, kas izdrukā tā izvēlēto avota adresi. Ja profils nes kādu no tiem, pārbaudiet IPv6 un DNS atsevišķi.