Ċiklu tar-rotta default ta’ WireGuard: sib il-passaġġ tal-punt tat-tmiem

L-interfaċċa tiela’, il-konfigurazzjoni tal-pari tidher korretta, u l-ebda handshake qatt ma jitlesta. Iż-żieda ta’ rotta default mill-mina hija l-pass li spiss jikkawżah: l-istess tabella tar-rotot issa tiddeċiedi fejn għandhom imorru l-pakketti ċifrati tal-mina stess, u t-tweġiba li tipproduċi tmur lura fil-mina. Xejn ma jista’ jġorr il-pakkett ta’ barra li kien iġorr dak ta’ ġewwa, għalhekk il-konnessjoni tieqaf qabel ma tibda. It-tiswija hija żgħira, imma għandha ordni, u l-verifika hija aktar importanti mill-editjar.

Ikkonferma ċ-ċiklu qabel ma tbiddel rotta

Aqra l-indirizz attwali tal-punt tat-tmiem tal-pari u mbagħad staqsi lill-munzell tar-routing fejn tmur pakkett lejn dak l-indirizz. Jekk it-tweġiba ssemmi l-interfaċċa tal-mina, iċ-ċiklu huwa kkonfermat u m’hemmx bżonn aktar dijanjosi. Issejvja ż-żewġ output fit-tabella tal-bidliet qabel ma tmiss xejn, għax il-paragun wara t-tiswija huma l-istess żewġ kmandi. Ċiklu mhuwiex sottili ladarba jidher; id-diffikultà hija li l-interfaċċa tidher sana waqt li dan qed jiġri.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Inkludi r-regoli tal-politika f’dik il-qabda. Rotta default li tidher korretta fit-tabella prinċipali xorta tista’ titlef kontra regola li tagħżel tabella differenti għat-traffiku mmarkat jew mhux immarkat, u ċ-ċiklu jerġa’ jidher b’tabella tar-rotot li tidher sew.

Aqra l-passaġġ tal-punt tat-tmiem, mhux il-passaġġ tal-mina

Il-passaġġ tal-punt tat-tmiem huwa r-rotta li jieħdu d-datagrammi ċifrati lejn l-indirizz pubbliku tal-pari, u għandu jibqa’ barra mill-mina sakemm teżisti l-mina. Il-passaġġ tal-mina huwa kollox li l-pari jista’ jġorr. Dawn iż-żewġ passaġġi jaqsmu tabella tar-rotot waħda, u huwa eżattament għalhekk li entrata waħda li taqbad kollox tista’ ġġarrfihom f’xulxin. Is-separazzjoni tat-traffiku tal-mina mit-trasport tal-mina stess hija l-problema kollha tad-disinn, u kull għodda appoġġata ssolviha x’imkien ftit differenti.

Iċċekkja ż-żewġ familji tal-indirizzi separatament jekk l-interfaċċa ġġorr it-tnejn. Esklużjoni IPv4 li taħdem ma tgħid xejn dwar jekk il-punt tat-tmiem IPv6 għadux jintlaħaq, u konfigurazzjoni mħallta tista’ tidher li taħdem sakemm jintgħażel l-indirizz IPv6 tal-pari.

Erġa’ stabbilixxi l-passaġġ tal-punt tat-tmiem b’bidla waħda koerenti

Hemm żewġ approċċi appoġġati, u li tħallathom huwa kif setup li jaħdem isir imprevedibbli. L-ewwel huwa li tħalli l-għodda li tippossjedi l-interfaċċa tamministra l-mina kollha: wg-quick għandha trattament iddedikat għal firxa default tal-pari li tinstalla tabella separata, regoli tal-politika u marka tas-socket, li żżomm il-pakketti ta’ barra ’l barra mill-mina. Ħalli dik il-mekkanika intatta minflok ma tirriproduċi nofsha bl-idejn. Setup li jħallat default miżjud bl-idejn ma’ manager li diġà jinstalla marki u regoli għandu tendenza li jonqos wara li jerġa’ jingħaqad, meta l-manager jikteb mill-ġdid stat li l-pass manwali kien jassumi.

It-tieni huwa disinn manwali li fih il-punt tat-tmiem jingħata rotta tal-host espliċita permezz tal-gateway fiżiku. Żid dik ir-rotta qabel id-default, ibdel minflok ma żżid sabiex entrata qadima ma tistax tirbaħ, u kkonferma t-tfittxija wara.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Ivverifika, u mbagħad żomm triq lura

Timestamp tal-handshake li jimxi ’l quddiem huwa l-ewwel prova, u huwa aktar b’saħħtu minn interfaċċa li sempliċement teżisti. Segwih b’test tal-applikazzjoni mill-mina, imbagħad niżżel l-interfaċċa apposta u kkonferma li l-host jerġa’ lura għal stat użabbli minflok ma jżomm rotta default li tipponta lejn xejn. Dak l-aħħar pass huwa dak li n-nies jaqbeż, u huwa dak li jiddeċiedi jekk reboot hux se jħalli l-magna mingħajr konnessjoni.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Qabel dan kollu, issejvja l-istat attwali tar-routing u kun żgur li hemm triq tad-dħul li ma tiddependix mill-mina: console, indirizz tal-ġestjoni barra l-medda jew kollega fuq il-post. Magna remota li titlef ir-rotta default tagħha ma tistax tiġi rkuprata mill-konnessjoni li għadha kif tilfet, u l-aktar pass sigur fir-runbook huwa dak meħud qabel l-ewwel kmand.