Јамка на стандардната рута во WireGuard: пронајдете ја патеката до крајната точка

Интерфејсот се подига, конфигурацијата на партнерот изгледа исправна и ниту едно ракување никогаш не завршува. Додавањето стандардна рута низ тунелот е чекорот што често го предизвикува тоа: истата табела со рути сега одлучува каде треба да одат сопствените шифрирани пакети на тунелот, а одговорот што го дава води назад во тунелот. Ништо не може да го носи надворешниот пакет што би го носел внатрешниот, па врската застанува пред да почне. Поправката е мала, но има редослед, а проверката е поважна од уредувањето.

Потврдете ја јамката пред да смените рута

Прочитајте ја тековната адреса на крајната точка на партнерот и потоа прашајте го стекот за рутирање каде би одел пакет до таа адреса. Ако одговорот го именува интерфејсот на тунелот, јамката е потврдена и не е потребна дополнителна дијагностика. Зачувајте ги двата излези во записот за промени пред да допрете нешто, зашто споредбата по поправката се истите две команди. Јамката не е суптилна штом ќе се види; тешкотијата е што интерфејсот изгледа здрав додека тоа се случува.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Вклучете ги правилата за политика во тој запис. Стандардна рута што изгледа исправна во главната табела сепак може да загуби од правило што избира друга табела за означен или неозначен сообраќај, и јамката ќе се појави повторно со табела со рути што изгледа во ред.

Читајте ја патеката до крајната точка, не патеката на тунелот

Патеката до крајната точка е рутата што шифрираните датаграми ја поминуваат до јавната адреса на партнерот, и таа мора да остане надвор од тунелот додека тунелот постои. Патеката на тунелот е сѐ што на партнерот му е дозволено да носи. Овие две патеки делат една табела со рути, и токму затоа еден запис што фаќа сѐ може да ги сруши еден во друг. Одвојувањето на сообраќајот на тунелот од сопствениот транспорт на тунелот е целиот проблем на дизајнот, и секоја поддржана алатка го решава некаде малку поинаку.

Проверете ги двете семејства адреси одделно ако интерфејсот носи и двете. Работечкото исклучување на IPv4 не кажува ништо за тоа дали крајната точка IPv6 е сѐ уште достапна, и мешаната конфигурација може да изгледа работечка додека не се избере адресата IPv6 на партнерот.

Вратете ја патеката до крајната точка со една кожерентна промена

Постојат два поддржани пристапи, и нивното мешање е начинот на кој работечката поставка станува непредвидлива. Првиот е да се остави алатката што го поседува интерфејсот да управува со целиот тунел: wg-quick има посебна обработка за стандарден опсег на партнери што инсталира одделна табела, правила за политика и ознака за сокет, што ги држи надворешните пакети надвор од тунелот. Оставете ја таа механика недопрена наместо да репродуцирате половина од неа рачно. Поставка што меша рачно додадена стандардна рута со менаџер што веќе инсталира ознаки и правила, обично пропаѓа по повторното поврзување, кога менаџерот ја препишува состојбата што рачниот чекор ја претпоставувал.

Вториот е рачен дизајн во кој крајната точка добива јасна рута до домаќин преку физичката порта. Додајте ја таа рута пред стандардната, заменете наместо да додавате за да не може застарена ставка да победи, и потоа потврдете го пребарувањето.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Проверете, потоа задржете пат за враќање

Временската ознака на ракувањето што напредува е првиот доказ, и таа е посилна од интерфејс што само постои. Следете ја со тест на апликација низ тунелот, потоа намерно спуштете го интерфејсот и потврдете дека домаќинот се враќа во употреблива состојба наместо да држи стандардна рута што покажува кон ништо. Тој последен чекор луѓето го прескокнуваат, и токму тој одлучува дали рестартот ќе ја остави машината без врска.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Пред сето ова, зачувајте ја тековната состојба на рутирањето и уверете се дека има пат за влез што не зависи од тунелот: конзола, адреса за надворешно управување или колега на лице место. Оддалечена машина што ја губи стандардната рута не може да се врати преку врската што штотуку ја изгубила, и најбезбедниот чекор во упатството е оној преземен пред првата команда.