Gelung laluan lalai WireGuard: cari laluan titik akhir

Antara muka naik, konfigurasi rakan sebaya kelihatan betul, dan tiada jabat tangan pernah selesai. Menambah laluan lalai melalui terowong ialah langkah yang sering menyebabkannya: jadual laluan yang sama kini menentukan ke mana paket tersulit terowong itu sendiri patut pergi, dan jawapan yang dihasilkannya kembali ke dalam terowong. Tiada apa yang boleh membawa paket luar yang akan membawa paket dalam, jadi sambungan terhenti sebelum bermula. Pembaikan itu kecil, tetapi ia mempunyai urutan, dan pengesahan lebih penting daripada suntingan.

Sahkan gelung sebelum menukar laluan

Baca alamat titik akhir semasa rakan sebaya dan kemudian tanya tindanan penghalaan ke mana paket ke alamat itu akan pergi. Jika jawapannya menamakan antara muka terowong, gelung disahkan dan tiada diagnosis lanjut diperlukan. Simpan kedua-dua output dalam rekod perubahan sebelum menyentuh apa-apa, kerana perbandingan selepas pembaikan ialah dua arahan yang sama. Gelung tidak halus apabila dilihat; kesukarannya ialah antara muka kelihatan sihat semasa ia berlaku.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Sertakan peraturan dasar dalam tangkapan itu. Laluan lalai yang kelihatan betul dalam jadual utama masih boleh kalah kepada peraturan yang memilih jadual berbeza untuk trafik bertanda atau tidak bertanda, dan gelung akan muncul semula dengan jadual laluan yang kelihatan baik.

Baca laluan titik akhir, bukan laluan terowong

Laluan titik akhir ialah laluan yang diambil oleh datagram tersulit ke alamat awam rakan sebaya, dan ia mesti kekal di luar terowong selagi terowong wujud. Laluan terowong ialah segala yang dibenarkan dibawa oleh rakan sebaya. Kedua-dua laluan ini berkongsi satu jadual laluan, dan itulah sebabnya satu entri menangkap semua boleh meruntuhkan kedua-duanya ke dalam satu sama lain. Memisahkan trafik terowong daripada pengangkutan terowong itu sendiri ialah keseluruhan masalah reka bentuk, dan setiap alat yang disokong menyelesaikannya di suatu tempat sedikit berbeza.

Periksa kedua-dua keluarga alamat secara berasingan jika antara muka membawa kedua-duanya. Pengecualian IPv4 yang berfungsi tidak memberitahu apa-apa tentang sama ada titik akhir IPv6 masih boleh dicapai, dan konfigurasi bercampur boleh kelihatan berfungsi sehingga alamat IPv6 rakan sebaya dipilih.

Pulihkan laluan titik akhir dengan satu perubahan yang koheren

Terdapat dua pendekatan yang disokong, dan mencampurkannya ialah cara persediaan yang berfungsi menjadi tidak dapat diramalkan. Yang pertama ialah membiarkan alat yang memiliki antara muka mengendalikan seluruh terowong: wg-quick mempunyai pengendalian khusus untuk julat rakan sebaya lalai yang memasang jadual berasingan, peraturan dasar dan tanda soket, yang mengekalkan paket luar di luar terowong. Biarkan jentera itu utuh dan bukannya menghasilkan semula separuhnya dengan tangan. Persediaan yang mencampurkan lalai yang ditambah secara manual dengan pengurus yang sudah memasang tanda dan peraturan cenderung gagal selepas menyambung semula, apabila pengurus menulis semula keadaan yang diandaikan oleh langkah manual.

Yang kedua ialah reka bentuk manual di mana titik akhir mendapat laluan hos eksplisit melalui get laluan fizikal. Tambah laluan itu sebelum laluan lalai, ganti dan bukan tambah supaya entri lama tidak boleh menang, dan sahkan carian selepas itu.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Sahkan, kemudian simpan jalan kembali

Cap masa jabat tangan yang bergerak maju ialah bukti pertama, dan ia lebih kuat daripada antara muka yang hanya wujud. Ikuti dengan ujian aplikasi melalui terowong, kemudian turunkan antara muka dengan sengaja dan sahkan hos kembali ke keadaan boleh guna dan bukannya menyimpan laluan lalai yang menunjuk ke tempat kosong. Langkah terakhir itulah yang dilangkau orang, dan itulah yang menentukan sama ada but semula akan meninggalkan mesin tanpa sambungan.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Sebelum semua ini, simpan keadaan penghalaan semasa dan pastikan ada jalan masuk yang tidak bergantung pada terowong: konsol, alamat pengurusan luar jalur atau rakan sekerja di tapak. Mesin jauh yang kehilangan laluan lalainya tidak boleh dipulihkan melalui sambungan yang baru sahaja hilang, dan langkah runbook paling selamat ialah langkah yang diambil sebelum arahan pertama.