wg-quick го крши DNS при поврзување: прочитајте ја грешката при поставување

Тунелот се крева, ракувањето завршува и решавањето имиња запира. Ништо во конфигурацијата на партнерот не се промени, бидејќи DNS линијата никогаш не била дел од неа. Таа му припаѓа на помошникот за поставување, што значи дека дефектот живее во алатките на резолверот на домаќинот, а не во клучевите на WireGuard.

Прочитајте ја првата порака што ја испечати помошникот, а не последната, и разликата меѓу алатка што недостига и сервер што е недостапен станува очигледна.

DNS линијата е функција на помошникот

Основните полиња на конфигурацијата опишуваат партнери, клучеви и дозволени адреси. Решавањето имиња се додава одозгора од скриптата што го крева интерфејсот, и секоја имплементација го прави поинаку. Десктоп клиент може да управува со DNS преку сопствената услуга, скрипта на дистрибуција може да повика една од неколкуте алатки за резолвер, а контејнер може да не направи ниту едно. Конфигурациската датотека не може да ви каже кој од тие патишта е во игра.

Затоа конфигурациската датотека може да биде валидна за протоколот и сепак да не успее при поставувањето: дефектот му припаѓа на кука што протоколот никогаш не ја гледа.

Пишувањето проширено поле во основна конфигурација и очекувањето алатката на протоколот да го прифати ја создава истата збунетост од спротивната страна. Двата парсери читаат различни датотеки.

Знаењето кој работи е првиот дијагностички чекор, и тоа обично се гледа во командата што сте ја напишале, а не во конфигурациската датотека.

Прочитајте ја првата грешка што ја печати помошникот

Кренете го интерфејсот во преден план и читајте го излезот по ред. Алатка за резолвер што недостига, неуспешна кука и недостапен сервер ја запираат истата команда на различни места, и секоја има различно поправање.

wg-quick up wg0
resolvectl status wg0
ip route get 10.66.0.1

Првата команда известува за напредокот на поставувањето, втората покажува кои сервери интерфејсот сега ги бара, а третата покажува дали адресата на резолверот е навистина достапна низ тунелот. Резолвер што е конфигуриран, но не е рутиран, создава истекување на време наместо конфигурациски грешки, затоа двете проверки одат заедно. Читањето само на статусниот излез дава самоуверен и погрешен заклучок.

Ако поставувањето завршило, а решавањето имиња се уште не успева, споредете го резолверот што помошникот го инсталирал со оној што мрежата го користела претходно. Приватен резолвер бара рута низ тунелот, а конфигурација што го наведува без да го покрие неговиот префикс остава секое барање да чека.

Кој резолвер навистина го има домаќинот

Современите Linux домаќини често работат локален stub резолвер, па адресата што ја инсталира помошникот ја троши тој stub, а не апликациите директно. Рачното уредување на генерирана датотека може да изгледа дека работи до следното повторно поврзување, кога помошникот ја препишува.

Користете ја поддржаната интеграција за дистрибуцијата и дозволете една компонента да го поседува статусот на резолверот. Два сопственика создаваат иста трка како два сопственика на адреса на интерфејс, а симптомот е домаќин што неколку минути по секоја промена решава правилно.

Внатрешните имиња заслужуваат сопствена проверка. Јавен резолвер може да го врати општото прелистување додека секое корпоративно име не успева, што е спротивно на она за што бил тунелот. Прашајте го предвидениот сервер за внатрешното име пред да заклучите дека DNS е поправен.

Чистењето е исто толку важно како поставувањето

Спуштете го интерфејсот и повторно проверете ја состојбата на резолверот. Помошник што ја враќа претходната конфигурација го остава домаќинот употреблив; оној што ги остава своите сервери зад себе ја создава следната грешка, често часови подоцна кога тунелот одамна го нема.

Застарената состојба лесно се забележува кога ќе почнете да ја барате. Списокот на резолвери може да покажува на адреса на интерфејс што повеќе не постои, а доменот за пребарување може да го надживее мрежата што ја напуштивте утрово. Секое од двете го прави следното поврзување непредвидливо, и ниту едно не се појавува во сопствениот статусен излез на тунелот. Проверката трае десет секунди и му заштедува на следниот човек еден час.

Држете ја дијагнозата одделно од поправката. Ако не успева секоја дестинација, а не само пребарувањето имиња, рутите и препраќањето се сомнителните, а DNS линијата е одвлекување внимание. прирачникот за wg-quick документира кои полиња ги обработува и кои му припаѓаат на протоколот, и таа граница е целиот одговор на повеќето од овие извештаи.