WireGuard AllowedIPs: NetworkManager ने कधीही न जोडलेला मार्ग

हातमिळवणीचा काउंटर अद्ययावत होतो, इंटरफेस त्याचा पत्ता टिकवून ठेवतो, आणि पलीकडे गेलेला ping कुठेही पोहोचत नाही। हे संयोजन लोकांना गोंधळात टाकते, कारण काम करणारी हातमिळवणी टनेल तयार असल्याचा पुरावा वाटते। पण तसे नाही: टनेल पूर्णपणे बोलणी करूनही त्यात रहदारी पाठवणारा एकही मार्ग नसू शकतो, आणि ही दोन वेगळी कामे आहेत जी स्थितीचे दोन वेगळे तुकडे करतात। दुरुस्ती या दोन्हींपैकी काय गहाळ आहे यावर पूर्णपणे अवलंबून आहे, म्हणून पहिली पायरी ते शोधणे आहे।

wg-quick दोन्ही विचारल्याशिवाय करते। NetworkManager चा अंगभूत WireGuard आधारही डीफॉल्टनुसार peer मार्ग स्थापित करतो, ज्यामुळे संशयित बंद पर्याय, दुसरा राउटिंग तक्ता किंवा दुसऱ्या कशातून आयात केलेल्या संरचनेपर्यंत मर्यादित होतात।

मार्गामागे जाण्यापूर्वी टनेलची खात्री करा

wg show इंटरफेस, peer, अंतिम बिंदू आणि शेवटच्या हातमिळवणीचे वय छापते, आणि ip addr show पत्ता उपस्थित असल्याची खात्री देते। अलीकडची हातमिळवणी म्हणजे कीज, अंतिम बिंदू आणि UDP मार्ग काम करत आहेत। जे काही बिघडले आहे ते त्यांच्या खाली बसते: राउटिंग, फिल्टरिंग किंवा नाव निराकरण।

मग कर्नलला विचारा की काल्पनिक नाही तर खऱ्या गंतव्यासह तो काय करेल: ip route get 10.42.7.9। उत्तर बाहेर जाणारा इंटरफेस आणि पॅकेट घेऊन जाणारा स्रोत पत्ता सांगते। जेव्हा ते भौतिक अडॅप्टर सांगते, तेव्हा हातमिळवणी कितीही निरोगी दिसली तरी पॅकेट कधीही टनेलमध्ये प्रवेश करत नाही।

AllowedIPs एक फिल्टर आणि मार्गांची यादी आहे

AllowedIPs मधील उपसर्ग दोन कामे करतात। ते कोणता peer बाहेर जाणारे गंतव्य वाहतो हे निवडतात, आणि येणाऱ्या पॅकेटच्या स्रोत पत्त्याची पडताळणी करतात, हीच क्रिप्टोकी राउटिंगची सीमा। wg-quick मध्ये ते स्वयंचलित मार्ग स्थापना देखील चालवतात, आणि हाच अतिरिक्त वर्तन तो कारण आहे की तीच संरचना टर्मिनलमधून चालते पण डेस्कटॉप क्लायंटमधून नाही।

या लेखामागील प्रकरणात प्रोफाइल अंगभूत आधाराऐवजी तृतीय-पक्ष प्लगइनद्वारे आयात झाले होते, आणि इंटरफेस उपसर्ग मार्गाशिवाय वर आला। तक्ता सूचीबद्ध केल्यास ते लगेच दिसते: ip route show मध्ये फक्त इंटरफेस पत्त्याचा जोडलेला मार्ग आहे, दूरच्या श्रेणीसाठी काहीही नाही।

peer मार्ग अजिबात सक्षम आहेत का ते विचारा

काहीही बदलण्यापूर्वी सेटिंग वाचा: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg। जेव्हा peer-routes no दाखवते, तेव्हा समर्थित दुरुस्ती nmcli connection modify work-wg wireguard.peer-routes yes आहे, आणि त्यानंतर पुन्हा जोडणी। त्याऐवजी स्थिर मार्ग जोडल्यास पुढील सक्रियतेपर्यंत चालतो आणि मग शांतपणे अदृश्य होतो। तेच अदृश्य होणे संकेत आहे: दररोज सकाळी कोडे म्हणून परत येणारा मार्ग प्रोफाइल स्थापित करत नाही।

पर्याय आधीच सक्षम असल्यास, उपसर्ग दुसऱ्या तक्त्यात राहतो का ते ip route show table all | grep 10 ने तपासा। मुख्य नसलेल्या तक्त्यातील मार्ग गहाळ नाही, तो फक्त मुख्य तक्ता पाहणाऱ्या शोधाला अदृश्य आहे। वर नकली नोंद रचण्याऐवजी धोरण राउटिंग दुरुस्त करा।

उपसर्ग चालू असलेल्या प्रणालीत नाही, जोडणीत जोडा

जोडणी संपादकात WireGuard पान peer आणि त्याचे AllowedIPs ठेवते, आणि IPv4 पान अतिरिक्त मार्ग ठेवते। तिथे जोडलेला मार्ग पुन्हा जोडणीत टिकतो कारण तो प्रोफाइलचा भाग आहे। आदेश ओळीवर समतुल्य म्हणजे रिकाम्या गेटवे स्वरूपात जोडणीत मार्ग जोडणे, आणि नंतर बदल लागू होण्यासाठी जोडणी खाली आणि वर करणे।

तुम्हाला आवश्यक असलेले होस्ट व्यापणारा सर्वात अरुंद उपसर्ग निवडा। पुरवठादाराचे /8 उदाहरण कॉपी केल्यास त्यात अचानक येणाऱ्या स्थानिक श्रेणी गिळल्या जाऊ शकतात, आणि त्यामुळे होणारे बिघाड खूप रुंद मार्गापेक्षा तुटलेल्या टनेलसारखे दिसतात।

विभाजित टनेलिंग उपसर्ग यादीने ठरते

विभाजित टनेलसाठी स्विच नाही; उपसर्ग यादी हाच निर्णय। ऑफिस LAN साठी एक श्रेणी आणि प्रयोगशाळा नेटवर्कसाठी दुसरी श्रेणी असलेला peer नेमकी तीच गंतव्ये टनेलमधून पाठवतो आणि बाकी सर्व तसेच सोडतो। एका होस्टला /32 लागतो, आणि दोन ठिकाणी एकमेकांत मिसळणाऱ्या श्रेणींना कोणी उपजाळ पुन्हा क्रमांकित करेपर्यंत होस्ट उपसर्ग लागतात।

टनेलमधून काहीही न पाठवण्याची निवड तोच निर्णय टोकापर्यंत नेते: किमान यादी दुवा वर ठेवते आणि सामान्य रहदारी आपल्या नेहमीच्या मार्गाने जाते। हेतू लिहून ठेवा, नाहीतर पुढील वाचक छोट्या यादीकडे दुर्लक्ष म्हणून पाहील आणि मदत करण्याच्या भावनेने ती वाढवेल।

मार्ग तक्त्यासाठी एक मालक

wg-quick आणि NetworkManager दोघेही इंटरफेसचे मार्ग आपले असल्याचे मानतात। wg-quick साठी लिहिलेली संरचना आयात करा आणि नंतर wg-quick सेवा सुरू करा, तेव्हा कोणती शेवटी चालली यावर वर्तन अवलंबून असणाऱ्या नकली किंवा परस्परविरोधी नोंदी मिळतील। एक मालक निवडा आणि दुसरा काढून टाका: NetworkManager जोडणी सांभाळत असेल, तर त्या इंटरफेससाठी wg-quick युनिट बंद करा, आणि त्याच उपकरणासाठी कधीही दुसरे प्रोफाइल जोडू नका।

विभाजनाला गंतव्याऐवजी भौतिक अडॅप्टरचे अनुसरण करावे लागल्यास, तुम्ही धोरण राउटिंगमध्ये आला आहात, आणि धोरण राउटिंगलाही एकच लेखक लागतो। ip route get ची पुनरावृत्ती करून पडताळा, नंतर दूरच्या उपसर्गातील होस्टपर्यंत त्याने निवडलेला स्रोत पत्ता छापणाऱ्या गोष्टीने पोहोचा। प्रोफाइलमध्ये असेल तर IPv6 आणि DNS वेगळे तपासा।