Slik startar du ein WireGuard-tunnel som systemd-teneste

Du har ein WireGuard-profil på /etc/wireguard/wg0.conf og vil ha han oppe utan å skrive wg-quick up for hand etter kvar omstart. systemd-malen frå pakken gjer nett det: [email protected] køyrer wg-quick for profilen med namnet wg0. Han installerer òg adresser, ruter, DNS og eventuelle krokane som profilen erklærer, noko som er meir enn å berre laste ein nøkkel inn i kjernen. Kontroller at malen finst på systemet ditt før du går ut frå at han gjer det.

Resten av denne gjennomgangen følgjer rekkjefølgja du faktisk ville gjort det i.

Finn eininga og profilen ho les

List opp einingfilene med systemctl list-unit-files 'wg-quick*'. På distribusjonar som pakkar henne ser du [email protected], med instansnamnet henta frå profilen. Instansen blir løyst til /etc/wireguard/<name>.conf, så wg-quick@wg0 les berre wg0.conf og ingenting anna. Viss lista er tom, er verktøypakken ikkje installert, og inga mengd aktivering hjelper.

Hald profilen på modus 600 og eigd av root. Han inneheld ein privat nøkkel, og eininga køyrer gjerne med dårlegare rettar viss du lèt henne.

Reis han og les journalen

Start instansen med systemctl start wg-quick@wg0, og sjekk deretter systemctl status wg-quick@wg0 og journalctl -u wg-quick@wg0 -b. Ei eining som startar og avsluttar med ein gong har vanlegvis ein profilfeil, og journalen namngjev linja. Stadfest med wg show at grensesnittet finst og at det siste handtrykket er nyleg. wg-quick-manualen viser kva skriptet gjer utover sjølve grensesnittet.

Eit konfigurert grensesnitt utan handtrykk er eit sti- eller nøkkelproblem, ikkje eit tenesteproblem.

Hald éin administrator ansvarleg

Viss NetworkManager eller ein annan klient alt eig tunnelen, lagar oppstart av systemd-eininga ein andre eigar for det same grensesnittet, rutene og DNS. Symptoma er forvirrande: tunnelen kjem opp, så forsvinn rutene, eller DNS fell tilbake etter nokre sekund. Vel éin administrator og deaktiver den andre for den profilen. Journalen viser vanlegvis overtakinga som rute- eller løysar-endringar rett etter at eininga rapporterer suksess.

To administratorar deler ikkje eigarskap. Dei overskriv kvarandre.

Test stopp, omstart og oppstart

Køyr systemctl stop wg-quick@wg0 og stadfest at grensesnittet er borte og at rutene er fjerna. Start han så igjen og sjekk at rutene kjem tilbake, fordi nedrivingsfeil viser seg som attverande ruter snarare enn som mislukka startar. Til slutt aktiverer du han ved oppstart med systemctl enable --now wg-quick@wg0 og startar på nytt éin gong.

Ved oppstart må namnet på endepunktet løysast før eininga køyrer. Viss DNS ikkje er oppe enno, feilar eininga og blir verande feila til du startar henne for hand.

Skriv ned eigaren

Skriv ned kva profil eininga les, kven administrator som eig grensesnittet, og kvar fila kom frå. Når nokon seinare importerer den same tunnelen i ein skrivebordsklient, er den notatet skilnaden mellom ein migrering og to utrullingar som slåst om éi adresse. Skriv òg ned grensesnittnamnet, fordi to profilar med liknande namn er den vanlege kjelda til forvirring.

Ein tunnel med to eigarar verkar til den første omstarten, og då er han eit mysterium. Derfor høyrer notatet heime i repositoriet og ikkje i ein chat-tråd.