WireGuard AllowedIPs: NetworkManager ले कहिल्यै नथपेको मार्ग

ह्यान्डशेक काउन्टर अद्यावधिक हुन्छ, इन्टरफेसले आफ्नो ठेगाना राख्छ, र अर्को छेउमा गएको ping कतै पुग्दैन। यो संयोजनले मानिसहरूलाई अन्योलमा पार्छ, किनकि काम गर्ने ह्यान्डशेक टनेल तयार भएको प्रमाण जस्तो लाग्छ। तर त्यस्तो होइन: टनेल पूर्ण रूपमा वार्ता भएको हुन सक्छ र त्यसमा ट्राफिक पठाउने एउटै मार्ग नहुन सक्छ, र यी दुई छुट्टै काम हुन् जुन अवस्थाका दुई छुट्टै टुक्राले गर्छन्। समाधान यी दुईमध्ये कुन गुमेको छ भन्नेमा पूर्ण निर्भर छ, त्यसैले पहिलो कदम त्यही पत्ता लगाउनु हो।

wg-quick दुवै काम नसोधी गर्छ। NetworkManager को अन्तर्निहित WireGuard समर्थनले पनि पूर्वनिर्धारित रूपमा peer मार्गहरू स्थापना गर्छ, जसले शंकास्पदलाई बन्द विकल्प, अर्को राउटिङ तालिका वा अरू कुनै माध्यमबाट आयात गरिएको कन्फिगरेसनमा सीमित गर्छ।

मार्गको पछि लाग्नुअघि टनेल पुष्टि गर्नुहोस्

wg show ले इन्टरफेस, peer, अन्तिम बिन्दु र अन्तिम ह्यान्डशेकको उमेर छाप्छ, र ip addr show ले ठेगाना उपस्थित रहेको पुष्टि गर्छ। हालैको ह्यान्डशेक भन्नाले कुञ्जीहरू, अन्तिम बिन्दु र UDP मार्ग काम गरिरहेका छन् भन्ने बुझिन्छ। बिग्रिएको सबै तिनीहरूको तल बस्छ: राउटिङ, फिल्टरिङ वा नाम समाधान।

त्यसपछि कर्नेललाई काल्पनिक होइन, वास्तविक गन्तव्यसँग के गर्छ भनी सोध्नुहोस्: ip route get 10.42.7.9। उत्तरले बाहिर जाने इन्टरफेस र प्याकेटले बोक्ने स्रोत ठेगाना बताउँछ। जब यसले भौतिक एडाप्टर बताउँछ, ह्यान्डशेक जतिसुकै स्वस्थ देखिए पनि प्याकेट कहिल्यै टनेलमा प्रवेश गर्दैन।

AllowedIPs एउटा फिल्टर र मार्ग सूची हो

AllowedIPs का प्रिफिक्सहरूले दुई काम गर्छन्। तिनले कुन peer ले बाहिर जाने गन्तव्य बोक्ने छ भनी छान्छन्, र आउने प्याकेटको स्रोत ठेगाना प्रमाणित गर्छन्, जुन क्रिप्टोकी राउटिङको सीमा हो। wg-quick मा तिनले स्वचालित मार्ग स्थापना पनि चलाउँछन्, र यही अतिरिक्त व्यवहारले एउटै कन्फिगरेसन टर्मिनलबाट चल्ने तर डेस्कटप क्लाइन्टबाट नचल्ने कारण हो।

यस लेख पछाडिको घटनामा प्रोफाइल अन्तर्निहित समर्थनबाट होइन, तेस्रो पक्षको प्लगइनबाट आयात भएको थियो, र इन्टरफेस प्रिफिक्स मार्ग बिनै माथि आयो। तालिका सूचीबद्ध गर्दा त्यो तुरुन्तै देखिन्छ: ip route show मा इन्टरफेस ठेगानाको जोडिएको मार्ग मात्र छ, टाढाको दायराका लागि केही छैन।

peer मार्गहरू बिल्कुल सक्षम छन् कि भनी सोध्नुहोस्

केही परिवर्तन गर्नुअघि सेटिङ पढ्नुहोस्: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg। जब peer-routes ले no देखाउँछ, समर्थित सुधार nmcli connection modify work-wg wireguard.peer-routes yes हो, र त्यसपछि पुनः जडान। यसको सट्टा स्थिर मार्ग थप्दा अर्को सक्रियतासम्म काम गर्छ र त्यसपछि चुपचाप हराउँछ। त्यही हराउने कुरा संकेत हो: हरेक बिहान पहेली बनेर फर्कने मार्ग प्रोफाइलले स्थापना गर्दैन।

विकल्प पहिले नै सक्षम छ भने, प्रिफिक्स अर्को तालिकामा छ कि भनी ip route show table all | grep 10 प्रयोग गरेर जाँच्नुहोस्। मुख्य नभएको तालिकाको मार्ग हराएको होइन, त्यो मात्र मुख्य तालिका हेर्ने खोजका लागि अदृश्य छ। माथि नक्कली प्रविष्टि थुपार्नुको सट्टा नीति राउटिङ सुधार्नुहोस्।

प्रिफिक्सलाई चलिरहेको प्रणालीमा होइन, जडानमा थप्नुहोस्

जडान सम्पादकमा WireGuard पृष्ठले peer र त्यसको AllowedIPs राख्छ, र IPv4 पृष्ठले थप मार्गहरू राख्छ। त्यहाँ थपिएको मार्ग पुनः जडानमा पनि टिक्छ किनकि त्यो प्रोफाइलको हो। आदेश लाइनमा बराबर काम भनेको खाली गेटवे ढाँचामा जडानमा मार्ग थप्नु, र त्यसपछि परिवर्तन लागू होस् भनेर जडान तल र माथि गर्नु हो।

तपाईंलाई आवश्यक पर्ने होस्टहरू ढाक्ने सबैभन्दा साँघुरो प्रिफिक्स छान्नुहोस्। प्रदायकको /8 उदाहरण प्रतिलिपि गर्दा भित्रै पर्ने स्थानीय दायराहरू निल्न सक्छ, र त्यसबाट आउने गडबडी धेरै फराकिलो मार्गको सट्टा बिग्रिएको टनेल जस्तो देखिन्छ।

विभाजित टनेलिङ प्रिफिक्स सूचीले निर्धारण गर्छ

विभाजित टनेलका लागि कुनै स्विच छैन; प्रिफिक्स सूची नै निर्णय हो। अफिस LAN का लागि एउटा दायरा र प्रयोगशाला सञ्जालका लागि अर्को दायरा भएको peer ले ठ्याक्कै ती गन्तव्यहरू टनेलबाट पठाउँछ र बाँकी सबैलाई छोडिदिन्छ। एउटा होस्टलाई /32 चाहिन्छ, र दुई स्थानमा एकआपसमा मिसिने दायराहरूलाई कसैले सबनेट पुनः क्रमाङ्कन नगरेसम्म होस्ट प्रिफिक्स चाहिन्छ।

टनेलबाट केही नपठाउने छनोटले त्यही निर्णयलाई यसको सीमासम्म पुर्‍याउँछ: न्यूनतम सूचीले लिङ्क माथि राख्छ जबकि सामान्य ट्राफिक आफ्नै चिरपरिचित मार्गमा रहन्छ। मनसाय लेखेर राख्नुहोस्, नत्र अर्को पाठकले छोटो सूचीलाई बिर्सने कुरा ठानेर सहयोग गर्ने भावनाले त्यसलाई विस्तार गर्नेछ।

मार्ग तालिकाका लागि एउटा मालिक

wg-quick र NetworkManager दुवैले इन्टरफेसका मार्ग आफ्ना भएको मान्छन्। wg-quick का लागि लेखिएको कन्फिगरेसन आयात गर्नुहोस् र त्यसपछि wg-quick सेवा पनि सुरु गर्नुहोस्, तब कुन अन्तिममा चल्यो भन्नेमा व्यवहार निर्भर हुने नक्कली वा परस्पर विरोधी प्रविष्टिहरू पाउनुहुनेछ। एउटा मालिक छान्नुहोस् र अर्को हटाउनुहोस्: यदि NetworkManager ले जडान सम्हाल्छ भने, त्यो इन्टरफेसका लागि wg-quick एकाइ बन्द गर्नुहोस्, र एउटै यन्त्रका लागि कहिल्यै दोस्रो प्रोफाइल नथप्नुहोस्।

जब विभाजनले गन्तव्यको सट्टा भौतिक एडाप्टर पछ्याउनुपर्छ, तपाईं नीति राउटिङमा प्रवेश गर्नुभएको छ, र नीति राउटिङलाई पनि एउटै लेखक चाहिन्छ। ip route get दोहोर्‍याएर जाँच्नुहोस्, त्यसपछि टाढाको प्रिफिक्सभित्रको होस्टसम्म त्यसले छानेको स्रोत ठेगाना छाप्ने कुनै कुराले पुग्नुहोस्। प्रोफाइलमा भए IPv6 र DNS अलग-अलग जाँच्नुहोस्।