WireGuard хамтрагч буруу WAN-аар гарна: таван шалгалт дарааллаар

Олон дээд холбоос бүхий гарцад гар барилт ба дамжуулсан урсгал өөр замаар явж болно. Дүрэм, тэмдэг, орчуулга ба хариултыг энэ дарааллаар хийгээрэй.

Хоёр дээд холбоос, нэг гарц ба трафик нь нөөц шугам дээр байнга гарч ирдэг WireGuard хамтрагч. Гар барилт бүх хугацаанд эрүүл хэвээр байна. Тиймээс шинж тэмдгийг маршрутлалтын алдаа биш WireGuard-ийн алдаа гэж буруу уншихад хялбар.

Доорх шалгалтуудыг дарааллаар гүйцэтгээрэй. Тус бүр зогсох нөхцөлтэй бөгөөд урагш харайх нь ихэвчлэн итгэлтэй буруу хариулт өгдөг.

Гар барилтыг дамжуулсан урсгалаас тусгаарла

Шифрлэгдсэн хамтрагчийн солилцоо серверийн нийтийн хаяг руу төгсгөлийн цэгийн маршруттай. Дамжуулсан клиентийн трафик өөр очих газартай бөгөөд тэмдэг эсвэл бодлогын дүрмээр сонгогдож болно. Эдгээр нь нэг интерфейсийг хуваалцдаг хоёр маршрутлалтын шийдвэр юм. Нэгийг нөгөөгийнх нь талаарх нотолгоо гэж үзэх нь эхний алдаа.

Гар барилтаас дүгнэж байгаагаа анзаарсан даруйдаа зогсоорой. Энэ нь зөвхөн төгсгөлийн цэгийн зам тухай нотолгоо.

Бодлогын дүрмийг унш, анхдагч хүснэгтийг биш

Анхдагч хүснэгт нь ямар ч бодлогын дүрэм тохирохгүй үед юу болохыг харуулна. Эх сурвалж, тэмдэг эсвэл очих газраар маршрутладаг гарцад шийдвэрлэх дүрэм өөр газар амьдардаг. Энгийн хүснэгт бүрэн үндэслэлтэй харагдаж болох боловч жинхэнэ сонголт түүний дээр хийгддэг.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Бодлогын дүрмүүд ба тэдгээрийн заасан хүснэгтүүдийг уншаарай. Дараа нь таны туршилтын урсгалд аль дүрэм тохирохыг баталгаажуулаарай. Зорилтот дээд холбоосыг цаашид дамжуулахгүй байгаа интерфейсийг дурдсан дүрэм бол олдвор, жижиг зүйл биш. Төгсгөлд байгаа маршрутын хайлт хүснэгт уншиж таамаглахаас хамаагүй хурдан хариултыг харуулна.

Тэмдэг ба орчуулгыг хамт шалга

Бодлогын маршрутлалт нь гинжид өмнө тавьсан пакетын тэмдэгт тулгуурладаг. Хэрэв тэмдэглэх дүрэм таны трафикийг алгасвал урсгал үндсэн хүснэгт рүү унаж, тэнд байгаа анхдагчаар гарна. Дамжуулсан пакетууд локалд үүссэн трафикийн зориулж бичсэн гинжүүдийг ихэвчлэн алгасдаг.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

Орчуулга нь урсгалыг дамжуулж буй дээд холбоостой тохирох ёстой. Пакет нөөц шугамаар гарч байхад үндсэн хаяг руу орчуулдаг дүрэм нь урсгалын хэзээ ч ашиглаагүй интерфейс рүү хаягласан хариултуудыг үүсгэдэг. Орчуулгын дүрмийн өөрийн интерфейсийн нөхцөлийг шалгаарай. Нөхцөлгүй дүрэм хоёр дахь дээд холбоосыг ашиглах хүртэл ажиллаж, дараа нь тасалдалтай мэт харагдах байдлаар бүтэлгүйтдэг.

Аль интерфейс хариултыг дамжуулж байгааг ажигла

Нэг хүсэлт ажиллаж байх үед хоёр дээд холбоос дээр бичлэг хий. Аль интерфейс хүсэлтийг, аль нь хариултыг дамжуулж байгааг тэмдэглэ. Тэгш бус замуудыг таамаглахаас харьцангуй хялбар хардаг.

Хэрэв хариулт буруу дээд холбоосоор ирвэл асуудал WireGuard-аас холболтын хяналт эсвэл орчуулга руу шилжсэн. Хамтрагчийн тохиргоонд ямар ч өөрчлөлт үүнийг засахгүй.

Буцах замтайгаар нэг зүйлийг өөрчил

Гарц дээр бодлогын дүрэм засахаас өмнө консол эсвэл зурвасаас гадуурх нэвтрэлтийг хадгал. Нэг өөрчлөлт хий, мөн зөвшөөрөгдсөн очих газрыг шалга, дараа нь дахин холбогдож гар барилт зорилтот төгсгөлийн цэгийн замыг ашиглаж байгааг баталгаажуул. Хоёр дахь хаягийн гэр бүлд тоон туршилт нэм, учир нь зөвхөн v4-д зориулсан бодлого ижил алдааг нээлттэй үлдээдэг.

Урсгал бүр аль дээд холбоосыг ашигласныг бич. Тэр бичлэг дараагийн тайланг бүтэн үдээс хойш биш хоёр минутын шалгалт болгоно. WireGuard-ийн нэрийн орон зай ба маршрутлалтын тухай тэмдэглэл төгсгөлийн цэгийн замыг туннельдсэн трафикаас санаатайгаар хэрхэн тусгаарлахыг тайлбарладаг бөгөөд энэ нь ихэвчлэн анхдагч маршрутын тойрч гарах шийдлийг хуулахаас илүү цэвэр байдаг.

Холбоотой нийтлэлүүд