WireGuard പിയർ തെറ്റായ WAN വഴി പുറത്തു പോകുന്നു: അഞ്ച് പരിശോധനകൾ ക്രമത്തിൽ

രണ്ട് അപ്‌ലിങ്കുകൾ, ഒരു ഗേറ്റ്‌വേ, ട്രാഫിക് വീണ്ടും വീണ്ടും ബാക്കപ്പ് ലൈനിൽ പ്രത്യക്ഷപ്പെടുന്ന ഒരു WireGuard പിയർ. ഹാൻഡ്‌ഷേക്ക് എപ്പോഴും ആരോഗ്യകരമായി നിലനിൽക്കുന്നു. അതുകൊണ്ടാണ് ഈ ലക്ഷണത്തെ റൂട്ടിംഗ് തകരാറിനു പകരം WireGuard തകരാറായി വായിക്കാൻ എളുപ്പമാകുന്നത്.

താഴെയുള്ള പരിശോധനകൾ ക്രമത്തിൽ ചെയ്യുക. ഓരോന്നിനും നിർത്താനുള്ള വ്യവസ്ഥയുണ്ട്, മുൻപോട്ട് ചാടിയാൽ സാധാരണയായി ആത്മവിശ്വാസമുള്ള തെറ്റായ ഉത്തരം ലഭിക്കും.

ഹാൻഡ്‌ഷേക്കിനെ ഫോർവേഡ് ചെയ്ത ഫ്ലോയിൽ നിന്ന് വേർതിരിക്കുക

എൻക്രിപ്റ്റ് ചെയ്ത പിയർ കൈമാറ്റത്തിന് സർവറിന്റെ പൊതു വിലാസത്തിലേക്ക് ഒരു എൻഡ്‌പോയിന്റ് റൂട്ട് ഉണ്ട്. ഫോർവേഡ് ചെയ്ത ക്ലയന്റ് ട്രാഫിക്കിന് വേറൊരു ലക്ഷ്യമുണ്ട്, മാർക്കുകളോ പോളിസി നിയമങ്ങളോ അതിനെ തിരഞ്ഞെടുത്തേക്കാം. ഒരേ ഇന്റർഫേസ് പങ്കിടുന്ന രണ്ട് റൂട്ടിംഗ് തീരുമാനങ്ങളാണ് ഇവ. ഒന്നിനെ മറ്റൊന്നിനെക്കുറിച്ചുള്ള തെളിവായി കാണുന്നതാണ് ആദ്യത്തെ തെറ്റ്.

ഹാൻഡ്‌ഷേക്കിൽ നിന്ന് യുക്തിയാക്കുന്നത് കണ്ടെത്തിയ ഉടൻ നിർത്തുക. അത് എൻഡ്‌പോയിന്റ് പാതയെക്കുറിച്ചുള്ള തെളിവ് മാത്രമാണ്.

പോളിസി നിയമം വായിക്കുക, ഡിഫോൾട്ട് ടേബിളല്ല

ഒരു പോളിസി നിയമവും ഒത്തുപോകാത്തപ്പോൾ എന്ത് സംഭവിക്കുന്നു എന്ന് ഡിഫോൾട്ട് ടേബിൾ കാണിക്കുന്നു. ഉറവിടം, മാർക്ക്, ലക്ഷ്യം എന്നിവ പ്രകാരം റൂട്ട് ചെയ്യുന്ന ഗേറ്റ്‌വേയിൽ നിർണായക നിയമം മറ്റെവിടെയോ ആണ്. സാധാരണ ടേബിൾ തികച്ചും ന്യായമായി തോന്നാം, എന്നാൽ യഥാർത്ഥ തിരഞ്ഞെടുപ്പ് അതിനു മുകളിലാണ് നടക്കുന്നത്.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

പോളിസി നിയമങ്ങളും അവ ചൂണ്ടിക്കാണിക്കുന്ന ടേബിളുകളും വായിക്കുക. ശേഷം നിങ്ങളുടെ പരീക്ഷണ ഫ്ലോയുമായി ഏത് നിയമം ഒത്തുപോകുന്നു എന്ന് ഉറപ്പാക്കുക. ഉദ്ദേശിച്ച അപ്‌ലിങ്ക് ഇനി വഹിക്കാത്ത ഇന്റർഫേസിനെ പരാമർശിക്കുന്ന നിയമം ഒരു കണ്ടെത്തലാണ്, വിശദാംശമല്ല. അവസാനത്തെ റൂട്ട് ലുക്കപ്പ് ടേബിൾ വായിച്ച് ഊഹിക്കുന്നതിനേക്കാൾ വളരെ വേഗം ഉത്തരം കാണിക്കുന്നു.

മാർക്കും വിവർത്തനവും ഒരുമിച്ച് പരിശോധിക്കുക

പോളിസി റൂട്ടിംഗ് ചെയിനിൽ മുൻപ് സെറ്റ് ചെയ്ത പാക്കറ്റ് മാർക്കിനെ ആശ്രയിക്കുന്നു. മാർക്കിംഗ് നിയമം നിങ്ങളുടെ ട്രാഫിക് വിട്ടുപോയാൽ, ഫ്ലോ പ്രധാന ടേബിളിലേക്ക് വീഴുകയും അവിടെയുള്ള ഏത് ഡിഫോൾട്ടിലൂടെയും പുറത്തുപോകുകയും ചെയ്യുന്നു. ഫോർവേഡ് ചെയ്ത പാക്കറ്റുകൾ പ്രാദേശികമായി സൃഷ്ടിച്ച ട്രാഫിക്കിനായി എഴുതിയ ചെയിനുകൾ പലപ്പോഴും ഒഴിവാക്കുന്നു.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

വിവർത്തനം ഫ്ലോ വഹിക്കുന്ന അപ്‌ലിങ്കുമായി ഒത്തുപോകണം. പാക്കറ്റ് ബാക്കപ്പ് ലൈനിലൂടെ പുറത്തുപോകുമ്പോൾ പ്രാഥമിക വിലാസത്തിലേക്ക് വിവർത്തനം ചെയ്യുന്ന നിയമം, ഫ്ലോ ഒരിക്കലും ഉപയോഗിക്കാത്ത ഇന്റർഫേസിനെ അഭിസംബോധന ചെയ്യുന്ന പ്രതികരണങ്ങൾ സൃഷ്ടിക്കുന്നു. വിവർത്തന നിയമത്തിന്റെ സ്വന്തം ഇന്റർഫേസ് വ്യവസ്ഥ പരിശോധിക്കുക. വ്യവസ്ഥയില്ലാത്ത നിയമം രണ്ടാം അപ്‌ലിങ്ക് ഉപയോഗിക്കുന്നതുവരെ പ്രവർത്തിക്കും, പിന്നീട് ഇടയ്ക്കിടെയെന്നു തോന്നുന്ന രീതിയിൽ പരാജയപ്പെടും.

ഏത് ഇന്റർഫേസാണ് പ്രതികരണം വഹിക്കുന്നതെന്ന് ശ്രദ്ധിക്കുക

ഒരു അഭ്യർത്ഥന നടക്കുമ്പോൾ രണ്ട് അപ്‌ലിങ്കുകളിലും ക്യാപ്ചർ ചെയ്യുക. ഏത് ഇന്റർഫേസ് അഭ്യർത്ഥനയും ഏത് പ്രതികരണവും വഹിക്കുന്നു എന്ന് രേഖപ്പെടുത്തുക. അസമമായ പാതകൾ പ്രവചിക്കുന്നതിനേക്കാൾ കാണാൻ വളരെ എളുപ്പമാണ്.

പ്രതികരണം തെറ്റായ അപ്‌ലിങ്കിലൂടെ വന്നാൽ, പ്രശ്നം WireGuard-ൽ നിന്ന് കണക്ഷൻ ട്രാക്കിംഗിലേക്കോ വിവർത്തനത്തിലേക്കോ മാറിയിരിക്കുന്നു. പിയർ കോൺഫിഗറേഷനിലെ ഒരു മാറ്റവും അത് ശരിയാക്കില്ല.

തിരികെ വരാനുള്ള വഴിയോടെ ഒരു കാര്യം മാറ്റുക

ഗേറ്റ്‌വേയിൽ പോളിസി നിയമങ്ങൾ തിരുത്തുന്നതിന് മുൻപ് കൺസോൾ അല്ലെങ്കിൽ ബാൻഡിനു പുറത്തുള്ള പ്രവേശനം സൂക്ഷിക്കുക. ഒരു മാറ്റം മാത്രം വരുത്തുക, അതേ അനുവദനീയമായ ലക്ഷ്യം പരീക്ഷിക്കുക, ശേഷം വീണ്ടും ബന്ധിപ്പിച്ച് ഹാൻഡ്‌ഷേക്ക് ഇപ്പോഴും ഉദ്ദേശിച്ച എൻഡ്‌പോയിന്റ് പാത ഉപയോഗിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക. രണ്ടാം വിലാസ കുടുംബത്തിലും സംഖ്യാപരമായ പരീക്ഷണം ചേർക്കുക, കാരണം v4 മാത്രമുള്ള പോളിസി അതേ തെറ്റ് തുറന്നിടുന്നു.

ഓരോ ഫ്ലോയും ഏത് അപ്‌ലിങ്കാണ് ഉപയോഗിച്ചതെന്ന് രേഖപ്പെടുത്തുക. ആ രേഖ അടുത്ത റിപ്പോർട്ടിനെ ഒരു ഉച്ചയ്ക്കു ശേഷമല്ല, രണ്ട് മിനിറ്റ് പരിശോധനയാക്കി മാറ്റുന്നു. നെയിംസ്‌പേസുകളും റൂട്ടിംഗും സംബന്ധിച്ച WireGuard-ന്റെ കുറിപ്പുകൾ എൻഡ്‌പോയിന്റ് പാതയെ ടണൽ ചെയ്ത ട്രാഫിക്കിൽ നിന്ന് ബോധപൂർവം വേർതിരിക്കുന്നതെങ്ങനെയെന്ന് വിശദീകരിക്കുന്നു, ഇത് സാധാരണയായി ഡിഫോൾട്ട്-റൂട്ട് പരിഹാരം പകർത്തുന്നതിനേക്കാൾ വൃത്തിയാണ്.