WireGuard: l-ebda rotta lejn il-pari wara bidla fis-subnet — żewġ toroq

Il-handshake hija friska fi wg show, l-endpoint huwa tajjeb, iċ-ċwievet qatt ma nbidlu — u ping għadu jgħid li m'hemmx rotta lejn il-pari. Biddilt is-subnet tat-tunnel siegħa ilu. Dan is-sintomu huwa l-firma ta' nuqqas ta' qbil fil-prefiss u mhux problema taċ-ċavetta: WireGuard temm il-handshake u mbagħad telaq id-data għax indirizz tas-sors m'għadux jaqbel ma' dak li se jaċċetta l-pari li jirċievi. Hemm żewġ modi sensibbli biex titwettaq bidla fis-subnet, u dawn ifallu f'postijiet differenti.

Żewġ modi biex titwettaq il-bidla, u kemm tiswa kull waħda

L-għażla A hija numerazzjoni mill-ġdid fil-post: editja l-indirizz tal-interface, il-firxiet tal-pari, ir-rotot u kull kopja tal-konfigurazzjoni, imbagħad erġa' għabbi. L-għażla B hija li tibni t-tieni interface fuq il-prefiss il-ġdid ħdejn dik antika, tittrasferixxi l-pari, u tneħħi l-interface antika wara li t-traffiku jkun tabilħaqq mar.

L-istat nofs applikat huwa dak li jagħmel l-għażla A perikoluża, għax ma jidhirx miksur. L-interface togħla, il-handshake tirnexxi, u tonqos biss it-triq tad-data. L-għażla B tiswa aktar xogħol imma żżomm triq li taħdem ħajja waqt li ssib kull referenza.

X'għandu jiċċaqlaq flimkien min-naħa tiegħek

Erba' affarijiet fuq il-host lokali jiddeskrivu l-istess subnet, u bidla f'waħda hija bidla f'kollha: l-indirizz tal-interface, l-AllowedIPs ta' kull pari, ir-rotta li s-sistema tuża għal dawk id-destinazzjonijiet, u kull ma jinstalla l-maniġer f'ismek. Bil-wg-quick, l-aħħar tnejn jiġu ġġenerati mill-konfigurazzjoni kull darba li togħla l-interface, allura kopja skaduta terġa' tinstalla l-prefiss antik bil-kwiet.

Qabbel dak li hu kkonfigurat ma' dak li hu ħaj minflok tafda f'wieħed minnhom:

wg show
wg showconf wg0
ip addr show wg0
ip route get 10.90.0.5

It-tfittxija tar-rotta hija l-pass li n-nies jaqbżu. Hija twieġeb x'kien jagħmel il-qalba fil-fatt għal destinazzjoni, inkluża rotta aktar speċifika li ħalla maniġer jew ambjent tal-eżekuzzjoni tal-kontenituri. Jekk tirrapporta interface differenti mit-tunnel, il-konfigurazzjoni mhijiex il-problema.

Għal interface li qed taħdem, applika l-fajl editjat mingħajr ma tħott it-tunnel:

wg syncconf wg0 <(wg-quick strip wg0)

Dan jaġġorna l-pari u l-firxiet fil-post. Ma jaġġornax l-indirizz tal-interface jew ir-rotot, għax dawk mhumiex settijiet tal-WireGuard — allura numerazzjoni mill-ġdid xorta teħtieġ il-ħolqien mill-ġdid tal-interface jew il-bidla tal-indirizz bl-ip, u mbagħad verifika mill-ġdid tar-routing.

X'għandu jiċċaqlaq flimkien fit-tarf imbiegħed

Hawnhekk bidla fis-subnet normalment tmut. AllowedIPs mhijiex biss ħjiel tar-routing; hija wkoll il-lista tal-indirizzi tas-sors li pari jista' jippreżenta. Meta tnumerer mill-ġdid il-klijenti u tħalli l-AllowedIPs tas-server fuq il-prefiss antik, is-server jaċċetta l-handshake, jirċievi l-pakketti kriptati u jarmihom għax is-sors intern ma jaqbilx ma' ebda firxa li jassoċja ma' dak il-pari. L-ebda żball ma jiġi rreġistrat, u l-klijent jara timeout.

Mela aġġorna n-naħa li tirċievi b'intenzjoni: id-dħul tal-pari fuq is-server għandu jelenka l-prefiss il-ġdid tal-klijent, it-triq tar-ritorn tas-server stess għandha tipponta lejn it-tunnel għal dak il-prefiss, u kull netwerk downstream wara s-server għandu jitgħallem it-triq il-ġdida. Il-politika tal-firewall li semmiet il-firxa antika teħtieġ l-istess trattament, u hekk ukoll kull ħaġa li tagħmel għażla bbażata fuq is-sors.

Id-dijanjostika li tifred iż-żewġ fallimenti hija rħisa. Handshake friska mingħajr data tfisser li t-tunnel huwa 'l fuq u l-indirizzar intern ma jaqbilx. L-ebda handshake tfisser li qed tħares lejn aċċessibilità jew ċwievet. Tiddawwarx iċ-ċwievet għal problema ta' prefiss; dan jirrisettja l-unika ħaġa li kienet taħdem.

Kopji skaduti li jgħixu aktar mill-editjar tiegħek

L-editjar ta' fajl mhuwiex l-istess bħall-bidla tas-sistema li qed taħdem, u l-kopji huma aktar milli jistennew in-nies: l-unità jew il-maniġer li jippossjedi l-interface, it-tieni profil bl-istess isem f'direttorju ieħor, kontenitur bil-konfigurazzjoni tiegħu moħmija f'immaġni, interface tar-router li żżomm il-verżjoni editjata tagħha, u app tal-klijent li terġa' timporta tunnel salvat meta tinbeda. Kull waħda minnhom tista' treġġa' lura l-prefiss antik wara li l-bidla tiegħek tidher kompluta.

L-ismijiet jivvjaġġaw ukoll. Jekk ir-rotta numerika taħdem imma l-isem tal-host ifalli, rekord DNS intern jew konfigurazzjoni ta' servizz għadhom jippuntaw lejn l-indirizz antik tat-tunnel. Sejjaħ ir-referenza minflok ma twessa' kull firxa tal-pari, li kien ikopri l-problema vera u fl-istess ħin ikabbar l-ACL tas-sors.

Żomm triq waħda ta' rkupru miftuħa waqt li taħdem: it-tieni mod kif tidħol fil-host, console serjali, jew rollback skedat tal-fajls tal-konfigurazzjoni. Bidla fit-tunnel li tissakkar barra mill-magna li qed tbiddel hija l-aktar mod komuni kif dan ix-xogħol isir filgħaxija.

L-għażla bejn it-tnejn, u l-verifika tal-qatgħa

Agħżel A meta għandek kull pari, in-numru huwa żgħir, u interruzzjoni qasira hija aċċettabbli. Agħżel B meta l-pari huma idejn imbiegħda li ma tikkontrollax, meta rabta bejn siti trid tibqa' ħajja, jew meta ma tistax tiggarantixxi li kull kopja tiġi aġġornata f'pass wieħed. F'dak il-każ żid il-prefiss il-ġdid maż-żewġ interfaces, ċaqlaq il-pari wieħed wieħed, osserva t-traffiku fuq dak il-ġdid, u biss imbagħad neħħi l-interface antika u r-rotot tagħha.

Fi kwalunkwe għażla, il-bidla hija magħmula meta jgħaddu erba' verifiki: il-handshake hija friska, it-tfittxija tar-rotta għal destinazzjoni bil-prefiss il-ġdid issemmi t-tunnel, tagħbija ta' ftit mijiet ta' bytes tgħaddi fiż-żewġ direzzjonijiet, u l-istess jgħodd wara restart tal-host jew tal-maniġer. Bħala referenza, il-manwal wg(8) jispjega xi tfisser AllowedIPs f'kull direzzjoni, u jiswa li terġa' taqrah qabel ma twessa' firxa biex sintomu jisparixxi.

• Handshake friska u l-ebda data: ħares lejn l-AllowedIPs għand ir-riċevitur qabel ma tmiss iċ-ċwievet.
• It-tfittxija tar-rotta tipponta lejn l-interface ħażina: maniġer jew kontenitur jippossjedi r-rotta, mhux il-fajl tiegħek.
• Indirizz numeriku sew u isem tal-host miksur: referenza antika, mhux linja tar-routing.
• Il-bidla hija kompluta biss meta wara restart għadu jintuża l-prefiss il-ġdid.