WireGuard AllowedIPs: ir-rotta li NetworkManager qatt ma żied

Il-counter tal-handshake jiġi aġġornat, l-interface iżżomm l-indirizz tagħha, u ping lejn in-naħa l-oħra ma jasal imkien. Din il-kombinazzjoni tħawwad lin-nies, għax handshake li jaħdem iħossu bħala prova li t-tunnel huwa lest. Mhuwiex: tunnel jista’ jkun kompletament negozjat u xorta ma jkollux rotta li tiddirieġi traffiku fih, u dawn huma żewġ xogħlijiet separati li jagħmlu żewġ biċċiet ta’ stat separati. Il-korrezzjoni tiddependi kollha kemm hi minn liema miż-żewġ hija nieqsa, għalhekk l-ewwel pass hu li ssib dan.

wg-quick jagħmel it-tnejn mingħajr ma jiġi mitlub. L-appoġġ WireGuard integrat ta’ NetworkManager ukoll jinstalla rotot tal-peer b’mod awtomatiku, li jnaqqas is-suspettati għal għażla diżattivata, tabella oħra ta’ routing jew konfigurazzjoni importata permezz ta’ xi ħaġa oħra.

Ikkonferma t-tunnel qabel ma tiġri war ir-rotta

wg show jipprintja l-interface, il-peer, il-punt tat-tmiem u l-età tal-aħħar handshake, u ip addr show jikkonferma li l-indirizz huwa preżenti. Handshake riċenti jfisser li ċ-ċwievet, il-punt tat-tmiem u l-passaġġ UDP qed jaħdmu. Kull ma huwa mfarrak ipoġġi ’l isfel minnhom: routing, filtraġġ jew riżoluzzjoni tal-ismijiet.

Imbagħad staqsi lill-kernel x’jagħmel b’destinazzjoni reali minflok waħda ipotetika: ip route get 10.42.7.9. It-tweġiba ssemmi l-interface tal-ħruġ u l-indirizz tas-sors li l-pakkett iġorr. Meta ssemmi l-adapter fiżiku, il-pakkett qatt ma jidħol fit-tunnel, kemm jidher b’saħħtu l-handshake.

AllowedIPs huwa filtru u lista ta’ rotot

Il-prefissi f’AllowedIPs jagħmlu żewġ xogħlijiet. Huma jagħżlu liema peer iġorr destinazzjoni tal-ħruġ, u jivvalutaw l-indirizz tas-sors tal-pakketti li jidħlu, li huwa l-limitu tar-routing b’ċavetta kriptografika. F’wg-quick huma wkoll imexxu l-installazzjoni awtomatika tar-rotot, u dan l-imġiba żejda hija r-raġuni għaliex l-istess konfigurazzjoni taħdem minn terminal u mhux minn klijent tad-desktop.

Fil-każ wara dan l-artiklu, il-profil ġie importat permezz ta’ plugin ta’ parti terza u mhux bl-appoġġ integrat, u l-interface telgħet mingħajr ir-rotta tal-prefiss. Li telenka t-tabella juri dan minnufih: ip route show fih biss ir-rotta konnessa tal-indirizz tal-interface, u xejn għall-firxa remota.

Staqsi jekk ir-rotot tal-peer humiex attivati xejn

Aqra s-setting qabel ma tibdel xejn: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Meta peer-routes juri no, it-tiswija appoġġata hija nmcli connection modify work-wg wireguard.peer-routes yes, segwita minn qsim mill-ġdid. Li żżid rotta statika minflok taħdem sal-attivazzjoni li jmiss u mbagħad tisparixxi bilkwiet. Dik l-għajbien hija l-ħjiel: rotta li tirritorna bħala misteru kull filgħodu ma tiġix installata mill-profil.

Jekk l-għażla hija diġà attivata, iċċekkja jekk il-prefiss jgħixx f’tabella oħra b’ip route show table all | grep 10. Rotta f’tabella li mhix dik prinċipali mhijiex nieqsa, hija sempliċement inviżibbli għal tfittxija li tħares biss lejn it-tabella prinċipali. Sejjaħ ir-routing tal-politika minflok ma tikkumula entrata doppja fuqha.

Żid il-prefiss mal-konnessjoni, mhux mas-sistema li qed taħdem

Fl-editur tal-konnessjonijiet, il-paġna WireGuard iżżomm il-peer u l-AllowedIPs tiegħu, u l-paġna IPv4 iżżomm rotot addizzjonali. Rotta miżjuda hemmhekk tibqa’ għaddejja mill-qsim mill-ġdid għax tappartjeni lill-profil. Fuq il-linja tal-kmand l-ekwivalenti huwa li żżid rotta mal-konnessjoni fil-forma b’gateway vojta, imbagħad tbaxxi u ttella’ l-konnessjoni biex il-bidla tiġi applikata.

Agħżel l-aktar prefiss dejjaq li jkopri l-hosts li għandek bżonn. Li tikkopja l-eżempju /8 tal-fornitur jista’ jibilgħu firxiet lokali li jinsabu ġo fih b’kumbinazzjoni, u l-fallimenti li jirriżultaw jidhru bħal tunnel imfarrak aktar milli rotta wisgħa wisq.

It-tunnel maqsum jiġi deċiż mil-lista tal-prefissi

M’hemmx swiċċ għat-tunnel maqsum; il-lista tal-prefissi hija d-deċiżjoni. Peer b’firxa waħda għal-LAN tal-uffiċċju u waħda għal netwerk tal-laboratorju jibgħat eżattament dawk id-destinazzjonijiet mit-tunnel u jħalli kollox ieħor fil-kwiet. Host wieħed jeħtieġ /32, u firxiet li jikkoinċidu f’żewġ siti jeħtieġu prefissi tal-host sakemm xi ħadd jerġa’ jinnumera subnet.

L-għażla li ma tibgħat xejn mit-tunnel iġġib l-istess deċiżjoni sal-limitu tagħha: lista minima żżomm il-link ‘il fuq filwaqt li traffiku ordinarju jibqa’ fit-triq tas-soltu tiegħu. Ikteb l-intenzjoni, għax inkella l-qarrej li jmiss jieħu l-lista qasira bħala żball u jestendiha bl-akbar qalb tajba.

Sid wieħed għat-tabella tar-rotot

wg-quick u NetworkManager it-tnejn jemmnu li huma s-sidien tar-rotot tal-interface. Importa konfigurazzjoni miktuba għal wg-quick u mbagħad ibda wkoll is-servizz wg-quick, u jkollok entrati doppji jew konfliġġenti li l-imġiba tagħhom tiddependi minn liema waħda ħadmet l-aħħar. Agħżel sid wieħed u neħħi l-ieħor: jekk NetworkManager jamministra l-konnessjoni, iddiżattiva l-unità wg-quick għal dik l-interface, u qatt ma żżid it-tieni profil għall-istess apparat.

Meta qsim irid isegwi adapter fiżiku minflok destinazzjoni, inti għaddejt għal routing tal-politika, u r-routing tal-politika jeħtieġ ukoll awtur wieħed. Ivverifika billi tirrepeti ip route get, imbagħad tilħaq host ġewwa l-prefiss remot b’xi ħaġa li tipprintja l-indirizz tas-sors li għażlet. Iċċekkja IPv6 u DNS separatament jekk il-profil iġorr wieħed minnhom.