Како да стартувате WireGuard тунел како systemd услуга

Имате WireGuard профил во /etc/wireguard/wg0.conf и сакате да биде кренат без рачно внесување wg-quick up по секое рестартирање. systemd шаблонот од пакетот го прави токму тоа: [email protected] извршува wg-quick за профилот наречен wg0. Тој исто така инсталира адреси, рути, DNS и сите куки што профилот ги декларира, што е повеќе од само вчитување клуч во јадрото. Проверете дали шаблонот постои на вашиот систем пред да претпоставите дека постои.

Остатокот од ова упатство го следи редоследот по кој навистина би го правеле.

Најдете ја единицата и профилот што го чита

Излистајте ги датотеките на единицата со systemctl list-unit-files 'wg-quick*'. На дистрибуциите што го пакуваат ќе видите [email protected], при што името на инстанцата се зема од профилот. Инстанцата се разрешува во /etc/wireguard/<name>.conf, па wg-quick@wg0 чита само wg0.conf и ништо друго. Ако списокот е празен, пакетот со алатки не е инсталиран и ниту една количина на овозможување нема да помогне.

Држете го профилот на режим 600 и во сопственост на root. Содржи приватен клуч, а единицата со задоволство ќе работи со полоши дозволи ако и дозволите.

Кренете го и прочитајте го журналот

Стартувајте ја инстанцата со systemctl start wg-quick@wg0, потоа проверете systemctl status wg-quick@wg0 и journalctl -u wg-quick@wg0 -b. Единица што стартува и веднаш излегува обично има грешка во профилот, а журналот ја именува линијата. Потврдете со wg show дека интерфејсот постои и дека последното ракување е скорешно. Прирачникот за wg-quick наведува што прави скриптата надвор од самиот интерфејс.

Конфигуриран интерфејс без ракување е проблем со патека или клуч, не со услуга.

Задржете еден менаџер одговорен

Ако NetworkManager или друг клиент веќе го поседува тунелот, стартувањето на systemd единицата создава втор сопственик за истиот интерфејс, рути и DNS. Симптомите се збунувачки: тунелот се крева, потоа рутите исчезнуваат, или DNS се враќа назад по неколку секунди. Изберете еден менаџер и оневозможете го другиот за тој профил. Журналот обично го покажува преземањето како промени на рути или резолвер веднаш откако единицата ќе пријави успех.

Два менаџери не делат сопственост. Тие се препишуваат еден со друг.

Тестирајте запирање, рестартирање и подигање

Извршете systemctl stop wg-quick@wg0 и потврдете дека интерфејсот го нема и рутите се отстранети. Потоа стартувајте го повторно и проверете дали рутите се враќаат, бидејќи грешките при расклопување се појавуваат како преостанати рути, а не како неуспешни стартови. На крајот овозможете го при подигање со systemctl enable --now wg-quick@wg0 и рестартирајте еднаш.

При подигање името на крајната точка мора да се разреши пред единицата да работи. Ако DNS сѐ уште не е кренат, единицата не успева и останува неуспешна додека не ја стартувате рачно.

Запишете го сопственикот

Запишете кој профил го чита единицата, кој менаџер го поседува интерфејсот и од каде дошла датотеката. Кога подоцна некој ќе го увезе истиот тунел во десктоп клиент, таа забелешка е разликата помеѓу миграција и две распоредувања што се караат за една адреса. Запишете го и името на интерфејсот, бидејќи два профила со слични имиња се вообичаениот извор на конфузија.

Тунел со два сопственици работи до првото рестартирање, а потоа е мистерија. Затоа забелешката припаѓа во репозиториумот, а не во чет-нитка.