WireGuard partneris iziet pa nepareizo WAN: piecas pārbaudes secībā

Divas augšupielādes līnijas, vieni vārti un WireGuard partneris, kura plūsma nemitīgi parādās rezerves līnijā. Rokasspiediens visu laiku paliek vesels. Tāpēc simptomu ir viegli nepareizi nolasīt kā WireGuard bojājumu, nevis kā maršrutēšanas bojājumu.

Veiciet zemāk minētās pārbaudes secībā. Katrai ir apstāšanās nosacījums, un priekšā skriešana parasti dod pārliecinātu nepareizu atbildi.

Atdaliet rokasspiedienu no pārsūtītās plūsmas

Šifrētajai partneru apmaiņai ir galapunkta maršruts uz servera publisko adresi. Pārsūtītajai klienta plūsmai ir cits galamērķis, un to var izvēlēties atzīmes vai politikas noteikumi. Tie ir divi maršrutēšanas lēmumi, kas dala vienu saskarni. Vienu uzskatīt par pierādījumu par otru ir pirmā kļūda.

Apstājieties, tiklīdz pamanāt, ka spriežat no rokasspiediena. Tas ir pierādījums tikai par galapunkta ceļu.

Lasiet politikas noteikumu, nevis noklusējuma tabulu

Noklusējuma tabula parāda, kas notiek, kad neviens politikas noteikums neatbilst. Vārtos, kas maršrutē pēc avota, atzīmes vai galamērķa, izšķirošais noteikums dzīvo citur. Vienkāršā tabula var izskatīties pilnīgi saprātīga, kamēr īstā izvēle tiek izdarīta virs tās.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Lasiet politikas noteikumus un tabulas, uz kurām tie norāda. Pēc tam apstipriniet, kurš noteikums atbilst jūsu testa plūsmai. Noteikums, kas atsaucas uz saskarni, kura vairs nenēsā paredzēto augšupielādes līniju, ir atradums, nevis sīkums. Maršruta meklēšana beigās parāda atbildi daudz ātrāk nekā tabulas lasīšana un minēšana.

Pārbaudiet atzīmi un tulkojumu kopā

Politikas maršrutēšana balstās uz paketes atzīmi, kas uzstādīta agrāk ķēdē. Ja atzīmēšanas noteikums palaiž garām jūsu plūsmu, plūsma iekrīt galvenajā tabulā un iziet pa to, kas tur ir noklusējuma. Pārsūtītās paketes bieži izlaiž ķēdes, kas rakstītas lokāli ģenerētai plūsmai.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

Tulkojumam jāsaskan ar augšupielādes līniju, kas nēsā plūsmu. Noteikums, kas tulko uz primāro adresi, kamēr pakete iziet pa rezerves līniju, rada atbildes, kas adresētas saskarnei, kuru plūsma nekad nav izmantojusi. Pārbaudiet paša tulkošanas noteikuma saskarnes nosacījumu. Bez nosacījuma noteikums darbojas, līdz tiek izmantota otrā augšupielādes līnija, un tad neizdodas tā, ka izskatās pārtraukts.

Vērojiet, kura saskarne nēsā atbildi

Uzņemiet abās augšupielādes līnijās, kamēr notiek viens pieprasījums. Atzīmējiet, kura saskarne nēsā pieprasījumu un kura atbildi. Asimetriskus ceļus ir daudz vieglāk saskatīt nekā paredzēt.

Ja atbilde ierodas pa nepareizo augšupielādes līniju, problēma ir pārcēlusies no WireGuard uz savienojumu izsekošanu vai tulkojumu. Nekādas partnera konfigurācijas izmaiņas to neizlabos.

Mainiet vienu lietu ar atgriešanās ceļu

Pirms politikas noteikumu rediģēšanas vārtos saglabājiet konsoles vai ārpusjoslas piekļuvi. Veiciet vienu izmaiņu, pārbaudiet to pašu atļauto galamērķi, pēc tam pievienojieties no jauna un apstipriniet, ka rokasspiediens joprojām izmanto paredzēto galapunkta ceļu. Pievienojiet skaitlisku testu otrajai adrešu saimei, jo politika, kas attiecas tikai uz v4, atstāj to pašu kļūdu pieejamu.

Atzīmējiet, kuru augšupielādes līniju izmantoja katra plūsma. Šis ieraksts pārvērš nākamo ziņojumu divu minūšu pārbaudē, nevis veselā pēcpusdienā. WireGuard piezīmes par nosaukumu telpām un maršrutēšanu apraksta, kā apzināti atdalīt galapunkta ceļu no tunelētās plūsmas, kas parasti ir tīrāk nekā kopēt apieto risinājumu ar noklusējuma maršrutu.