WireGuard AllowedIPs: NetworkManager хэзээ ч нэмээгүй маршрут

Гар барилтын тоолуур шинэчлэгдэж, интерфэйс өөрийн хаягийг хадгалж, нөгөө тал руу явсан ping хаашаа ч хүрэхгүй. Энэ хослол хүмүүсийг төөрөгдүүлдэг, учир нь ажиллаж буй гар барилт нь туннель бэлэн гэдгийн баталгаа мэт санагддаг. Гэхдээ тийм биш: туннель бүрэн хэлэлцэгдсэн байж, түүн рүү трафик чиглүүлэх ганц ч маршрут байхгүй байж болно, энэ нь хоёр тусдаа ажил бөгөөд төлөвийн хоёр тусдаа хэсэг гүйцэтгэдэг. Залруулга нь эдгээрийн аль нь дутуу байгаагаас бүрэн хамаардаг тул эхний алхам нь үүнийг олж мэдэх юм.

wg-quick хоёуланг нь хүсэлгүйгээр гүйцэтгэдэг. NetworkManager-ийн суулгагдсан WireGuard дэмжлэг мөн анхдагчаар peer маршрутуудыг суулгадаг бөгөөд энэ нь сэжигтнүүдийг идэвхгүй болгосон сонголт, өөр маршрутжуулалтын хүснэгт эсвэл өөр зүйлээр импортолсон тохиргоо руу нарийсгадаг.

Маршрутыг мөшгихөөс өмнө туннелийг баталгаажуулна уу

wg show интерфэйс, peer, төгсгөлийн цэг болон сүүлийн гар барилтын насыг хэвлэдэг бол ip addr show хаяг байгаа гэдгийг батална. Саяхны гар барилт нь түлхүүрүүд, төгсгөлийн цэг болон UDP зам ажиллаж байгаа гэсэн үг. Эвдэрсэн бүхэн тэдгээрийн доор байрлана: маршрутжуулалт, шүүлт эсвэл нэрийн шийдэл.

Дараа нь таамаглал биш, бодит очих газартай цөм юу хийхийг асууна уу: ip route get 10.42.7.9. Хариулт нь гарах интерфэйс болон пакетын авч явах эх хаягийг нэрлэнэ. Физик адаптерыг нэрлэхэд гар барилт хичнээн эрүүл харагдаж байсан ч пакет хэзээ ч туннельд орохгүй.

AllowedIPs нь шүүлтүүр ба маршрутын жагсаалт юм

AllowedIPs дахь угтварууд хоёр ажил гүйцэтгэдэг. Тэд аль peer гарах очих газрыг авч явахыг сонгож, ирж буй пакетуудын эх хаягийг баталгаажуулдаг бөгөөд энэ нь криптотүлхүүрийн маршрутжуулалтын хил юм. wg-quick дээр тэд мөн маршрутыг автоматаар суулгахыг удирддаг бөгөөд яг энэ нэмэлт зан үйл нь ижил тохиргоо терминалаас ажиллаж, ширээний клиентээс ажиллахгүй байх шалтгаан юм.

Энэ өгүүллийн цаанаах тохиолдолд профайлыг суулгагдсан дэмжлэгээр биш, гуравдагч талын нэмэлтээр импортолсон бөгөөд интерфэйс угтварын маршрутгүйгээр боссон. Хүснэгтийг жагсаахад энэ нь даруй харагдана: ip route show нь зөвхөн интерфэйсийн хаягийн холбогдсон маршрутыг агуулж, алслагдсан мужид юу ч байхгүй.

Peer маршрутууд огт идэвхтэй эсэхийг асууна уу

Ямар нэг зүйлийг өөрчлөхөөс өмнө тохиргоог уншина уу: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. peer-routes no гэж харуулах үед дэмжигдэх засвар нь nmcli connection modify work-wg wireguard.peer-routes yes бөгөөд дараа нь дахин холбогдоно. Үүний оронд статик маршрут нэмэх нь дараагийн идэвхжүүлэлт хүртэл ажиллаад дараа нь чимээгүй алга болдог. Тэр алга бололт нь дохио юм: өдөр бүр оньсого мэт буцаж ирдэг маршрутыг профайл суулгадаггүй.

Хэрэв сонголт аль хэдийн идэвхтэй бол угтвар өөр хүснэгтэд амьдарч байгаа эсэхийг ip route show table all | grep 10-оор шалгана уу. Үндсэн бус хүснэгт дэх маршрут дутуу биш, зөвхөн үндсэн хүснэгтийг хардаг хайлтад үл үзэгдэх юм. Дээр нь давхардсан бичлэг овоолохын оронд бодлогын маршрутжуулалтыг засна уу.

Угтварыг ажиллаж буй системд биш, холболтод нэмнэ үү

Холболтын редакторт WireGuard хуудас peer болон түүний AllowedIPs-ийг хадгалж, IPv4 хуудас нэмэлт маршрутуудыг хадгална. Тэнд нэмсэн маршрут нь профайлд хамаарах тул дахин холбогдолтоос амьд гардаг. Командын мөрөнд ижил утга нь хоосон гарцын хэлбэрээр холболтод маршрут хавсаргаж, дараа нь өөрчлөлт хэрэгжихийн тулд холболтыг буулгаж дахин өргөх юм.

Танд хэрэгтэй хостуудыг хамарсан хамгийн нарийн угтварыг сонгоно уу. Нийлүүлэгчийн /8 жишээг хуулбарлах нь дотор нь санамсаргүй байрласан локал мужийг залгиж болох бөгөөд үүнээс үүдэх гэмтэл нь хэт өргөн маршрут биш, эвдэрсэн туннель мэт харагдана.

Хуваасан туннелийг угтварын жагсаалт шийднэ

Хуваасан туннелийн унтраалга байхгүй; угтварын жагсаалт нь шийдвэр. Оффисын LAN-д нэг муж, лабораторийн сүлжээнд өөр нэг мужтай peer яг тэдгээр очих газрыг туннелээр илгээж, бусад бүхнийг тайван орхино. Ганц хостод /32 хэрэгтэй, хоёр газарт давхцах мужуудад хэн нэгэн дэд сүлжээг дахин дугаарлатал хост угтвар хэрэгтэй.

Туннелээр юу ч илгээхгүй байх сонголт нь мөн тэр шийдвэрийг хязгаар хүртэл нь хүргэдэг: хамгийн бага жагсаалт холбоосыг өргөстэй байлгаж, энгийн трафик ердийн замаараа явна. Зорилгоо бичиж үлдээгээрэй, эс бөгөөс дараагийн уншигч богино жагсаалтыг алдаа гэж үзэж, тус болох үүднээс өргөтгөх болно.

Маршрутын хүснэгтэд нэг эзэмшигч

wg-quick болон NetworkManager хоёулаа интерфэйсийн маршрутыг эзэмшдэг гэж үздэг. wg-quick-д зориулж бичсэн тохиргоог импортолж, дараа нь wg-quick үйлчилгээг бас эхлүүлбэл хамгийн сүүлд аль нь ажилласанаас хамаарч ажилладаг давхардсан эсвэл зөрчилтэй бичлэгүүд гарна. Нэг эзэмшигч сонгоод нөгөөг нь хасна уу: хэрэв NetworkManager холболтыг удирддаг бол тухайн интерфэйсийн wg-quick нэгжийг идэвхгүй болгож, нэг төхөөрөмжид хэзээ ч хоёр дахь профайл нэмэхгүй байгаарай.

Хуваалт нь очих газар биш физик адаптерыг дагах ёстой бол та бодлогын маршрутжуулалт руу шилжсэн бөгөөд бодлогын маршрутжуулалтад бас нэг зохиогч хэрэгтэй. ip route get-ыг давтаж шалгаад, дараа нь алслагдсан угтварын доторх хост руу өөрийн сонгосон эх хаягийг хэвлэдэг зүйлээр хүрнэ үү. Хэрэв профайл аль нэгийг нь агуулж байвал IPv6 болон DNS-ийг тусад нь шалгана уу.