Il-peer ta’ WireGuard joħroġ mill-WAN ħażina: ħames verifiki fl-ordni

Żewġ uplinks, gateway wieħed u peer ta’ WireGuard li t-traffiku tiegħu jibqa’ jitfaċċa fuq il-linja ta’ riżerva. Il-handshake jibqa’ f’saħħtu l-ħin kollu. Għalhekk is-sintomu huwa faċli li jinqara ħażin bħala ħsara ta’ WireGuard minflok ħsara ta’ routing.

Agħmel il-verifiki hawn taħt fl-ordni. Kull wieħed għandu kundizzjoni ta’ waqfien, u jaqbeż ’il quddiem normalment jagħti tweġiba ħażina u kunfidenti.

Aqsam il-handshake mill-fluss mgħoddi

L-iskambju peer encrypted għandu rotta tal-punt tat-tmiem lejn l-indirizz pubbliku tas-server. It-traffiku tal-klijent mgħoddi għandu destinazzjoni oħra u jista’ jintgħażel bil-marki jew bir-regoli tal-politika. Dawn huma żewġ deċiżjonijiet ta’ routing li jaqsmu interface waħda. Li tittratta waħda bħala prova dwar l-oħra hija l-ewwel żball.

Waqqaf hekk kif taqbad lilek innifsek tirraġuna mill-handshake. Hija biss prova dwar il-punt tat-tmiem.

Aqra r-regola tal-politika, mhux it-tabella default

Tabella default turi x’jiġri meta l-ebda regola tal-politika ma taqbel. Fuq gateway li jagħmel routing skont is-sors, il-marka jew id-destinazzjoni, ir-regola deċiżiva tgħix x’imkien ieħor. It-tabella sempliċi tista’ tidher raġonevoli għal kollox waqt li l-għażla vera ssir fuqha.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Aqra r-regoli tal-politika u t-tabelli li jindikaw. Imbagħad ikkonferma liema regola taqbel mal-fluss tat-test tiegħek. Regola li tirreferi għal interface li m’għadhiex iġġorr l-uplink maħsub hija sejba, mhux dettall. It-tfittxija tar-rotta fl-aħħar turi t-tweġiba ħafna aktar malajr milli taqra tabella u taqta’ bl-addoċċ.

Ivverifika l-marka u t-traduzzjoni flimkien

Ir-routing tal-politika jiddependi fuq marka tal-pakkett imqiegħda qabel fil-katina. Jekk ir-regola tal-immarkar taqbeż it-traffiku tiegħek, il-fluss jaqa’ fit-tabella prinċipali u joħroġ minn dak li hemm default hemmhekk. Il-pakketti mgħoddija spiss jaqbżu katini miktuba għat-traffiku ġġenerat lokalment.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

It-traduzzjoni trid taqbel mal-uplink li jġorr il-fluss. Regola li tittraduċi għall-indirizz primarju waqt li l-pakkett joħroġ mill-linja ta’ riżerva tipproduċi tweġibiet indirizzati lejn interface li l-fluss qatt ma uża. Ivverifika l-kundizzjoni tal-interface tar-regola tat-traduzzjoni stess. Regola mingħajr kundizzjoni taħdem sakemm jintuża t-tieni uplink, u mbagħad tfalli b’mod li jidher intermittenti.

Innota liema interface iġġorr it-tweġiba

Aqbad fuq iż-żewġ uplinks waqt li tkun għaddejja talba waħda. Innota liema interface iġġorr it-talba u liema t-tweġiba. It-toroq asimmetriċi huma ħafna aktar faċli biex tarahom milli tbassarhom.

Jekk it-tweġiba tasal mill-uplink ħażin, il-problema tkun marret minn WireGuard għat-traċċar tal-konnessjonijiet jew għat-traduzzjoni. L-ebda bidla fil-konfigurazzjoni tal-peer ma sejra ssewwiha.

Ibdel ħaġa waħda bi triq lura

Żomm aċċess mill-console jew barra l-medda qabel ma teditja regoli tal-politika fuq gateway. Agħmel bidla waħda, ittestja l-istess destinazzjoni awtorizzata, imbagħad erġa’ qabbad u kkonferma li l-handshake għadu juża l-punt tat-tmiem maħsub. Żid test numeriku fuq it-tieni familja tal-indirizzi, għax politika biss għal v4 tħalli l-istess żball disponibbli.

Innota liema uplink uża kull fluss. Dak ir-rekord ibdel ir-rapport li jmiss fi verifika ta’ żewġ minuti minflok nofsinhar sħiħ. in-noti ta’ WireGuard dwar in-namespaces u r-routing jiddeskrivu kif tissepara deliberatament it-triq tal-punt tat-tmiem mit-traffiku tunneljat, li normalment ikun aktar nadif milli tikkopja soluzzjoni ta’ rotta default.