WireGuard AllowedIPs: ruten NetworkManager aldri la til

Håndtrykk-telleren oppdateres, grensesnittet beholder adressen sin, og en ping til den andre siden kommer ingen vei. Den kombinasjonen forvirrer folk, fordi et fungerende håndtrykk føles som bevis på at tunnelen er klar. Det er det ikke: en tunnel kan være fullt forhandlet og likevel ikke ha noen rute som sender trafikk inn i den, og det er to atskilte jobber utført av to atskilte biter tilstand. Rettingen avhenger helt av hvilken av de to som mangler, så første steg er å finne ut det.

wg-quick gjør begge uten å bli bedt om det. NetworkManagers innebygde WireGuard-støtte installerer også peer-ruter som standard, noe som begrenser de mistenkte til et deaktivert alternativ, en annen rutetabell eller en konfigurasjon importert gjennom noe annet.

Bekreft tunnelen før du jager ruten

wg show skriver ut grensesnittet, peer-en, endepunktet og alderen på det siste håndtrykket, og ip addr show bekrefter at adressen er der. Et nylig håndtrykk betyr at nøklene, endepunktet og UDP-veien virker. Alt som er ødelagt sitter nedstrøms for dem: ruting, filtrering eller navneoppslag.

Spør deretter kjernen hva den ville gjort med en ekte destinasjon i stedet for en hypotetisk: ip route get 10.42.7.9. Svaret navngir det utgående grensesnittet og kildeadressen pakken ville bære. Når det navngir den fysiske adapteren, kommer pakken aldri inn i tunnelen, uansett hvor sunn håndtrykket ser ut.

AllowedIPs er et filter og en ruteliste

Prefiksene i AllowedIPs gjør to jobber. De velger hvilken peer som bærer en utgående destinasjon, og de validerer kildeadressen til innkommende pakker, som er grensen for kryptonøkkelruting. I wg-quick styrer de også automatisk ruteinstallasjon, og nettopp den ekstra oppførselen er grunnen til at samme konfigurasjon virker fra en terminal og ikke fra en skrivebordsklient.

I saken bak denne artikkelen ble profilen importert gjennom en tredjeparts utvidelse i stedet for gjennom den innebygde støtten, og grensesnittet kom opp uten prefiksruten. En opplisting av tabellen viser det med én gang: ip route show inneholder bare den tilkoblede ruten for grensesnittadressen og ingenting for det fjerne området.

Spør om peer-ruter er slått på i det hele tatt

Les innstillingen før du endrer noe: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Når peer-routes viser no, er den støttede reparasjonen nmcli connection modify work-wg wireguard.peer-routes yes, etterfulgt av en ny tilkobling. Å legge til en statisk rute i stedet virker til neste aktivering og forsvinner så stille. Den forsvinningen er tegnet: en rute som kommer tilbake som et mysterium hver morgen blir ikke installert av profilen.

Hvis alternativet allerede er slått på, sjekk om prefikset bor i en annen tabell med ip route show table all | grep 10. En rute i en tabell som ikke er hovedtabellen mangler ikke, den er bare usynlig for et oppslag som bare ser i hovedtabellen. Rett policy-rutingen i stedet for å stable en duplikat oppføring oppå.

Legg prefikset til tilkoblingen, ikke til det kjørende systemet

I tilkoblingseditoren holder WireGuard-siden peer-en og AllowedIPs-ene, og IPv4-siden holder flere ruter. En rute som legges til der overlever nye tilkoblinger fordi den hører til profilen. På kommandolinjen er ekvivalenten å legge en rute til tilkoblingen i formen med tom gateway, og deretter ta tilkoblingen ned og opp slik at endringen brukes.

Velg det smaleste prefikset som dekker vertene du trenger. Å kopiere leverandørens eksempel /8 kan svelge lokale områder som tilfeldigvis ligger inni det, og feilene som følger ser ut som en ødelagt tunnel snarere enn en for bred rute.

Delt tunnel avgjøres av prefikslisten

Det finnes ingen bryter for delt tunnel; prefikslisten er avgjørelsen. En peer med ett område for kontorets LAN og ett for et laboratorienettverk sender nøyaktig disse destinasjonene gjennom tunnelen og lar alt annet være. Én enkelt vert trenger en /32, og overlappende områder på to steder trenger vertsprefikser til noen nummererer om et subnett.

Å velge å ikke sende noe gjennom tunnelen fører den samme avgjørelsen til sin grense: en minimal liste holder koblingen oppe mens vanlig trafikk holder seg på sin vanlige vei. Skriv ned intensjonen, for ellers vil neste leser behandle den korte listen som en forglemmelse og hjelpsomt utvide den.

Én eier av rutetabellen

wg-quick og NetworkManager mener begge at de eier rutene til grensesnittet. Importer en konfigurasjon skrevet for wg-quick og start deretter også wg-quick-tjenesten, og du får dupliserte eller motstridende oppføringer hvis oppførsel avhenger av hvilken som kjørte sist. Velg én eier og fjern den andre: hvis NetworkManager styrer tilkoblingen, deaktiver wg-quick-enheten for det grensesnittet, og legg aldri til en annen profil for samme enhet.

Når delingen må følge en fysisk adapter i stedet for en destinasjon, har du flyttet deg til policy-ruting, og policy-ruting trenger også én forfatter. Bekreft ved å gjenta ip route get, og deretter nå en vert inne i det fjerne prefikset med noe som skriver ut kildeadressen den valgte. Sjekk IPv6 og DNS separat hvis profilen bærer en av dem.