WireGuard AllowedIPs: ruta NetworkManager aldri la til

Handtrykk-teljaren vert oppdatert, grensesnittet held på adressa si, og ein ping til den andre sida kjem ingen veg. Den kombinasjonen forvirrar folk, fordi eit fungerande handtrykk kjennest som prov på at tunnelen er klar. Det er han ikkje: ein tunnel kan vere fullt forhandla og likevel ikkje ha noka rute som sender trafikk inn i han, og det er to åtskilde jobbar utførte av to åtskilde bitar tilstand. Rettinga er heilt avhengig av kva for ein av dei to som manglar, så første steg er å finne ut det.

wg-quick gjer begge utan å verte bede om det. Den innebygde WireGuard-støtta i NetworkManager installerer òg peer-ruter som standard, noko som avgrensar dei mistenkte til eit deaktivert val, ein annan rutetabell eller ein konfigurasjon importert gjennom noko anna.

Stadfest tunnelen før du jagar ruta

wg show skriv ut grensesnittet, peer-en, endepunktet og alderen på det siste handtrykket, og ip addr show stadfestar at adressa er der. Eit nyleg handtrykk tyder på at nøklane, endepunktet og UDP-vegen verkar. Alt som er øydelagt sit nedstraums for dei: ruting, filtrering eller namneoppslag.

Spør deretter kjernen kva han ville gjere med ein ekte destinasjon i staden for ein hypotetisk: ip route get 10.42.7.9. Svaret namngjev det utgåande grensesnittet og kjeldeadressa pakken ville bere. Når det namngjev den fysiske adapteren, kjem pakken aldri inn i tunnelen, uansett kor sunn handtrykket ser ut.

AllowedIPs er eit filter og ei ruteliste

Prefiksa i AllowedIPs gjer to jobbar. Dei vel kva peer som ber ein utgåande destinasjon, og dei validerer kjeldeadressa til innkomande pakkar, som er grensa for kryptonøkkelruting. I wg-quick styrer dei òg automatisk ruteinstallasjon, og nettopp den ekstra åtferda er grunnen til at same konfigurasjon verkar frå ein terminal og ikkje frå ein skrivebordsklient.

I saka bak denne artikkelen vart profilen importert gjennom eit tredjeparts tillegg i staden for gjennom den innebygde støtta, og grensesnittet kom opp utan prefiksruta. Ei opplisting av tabellen viser det med ein gong: ip route show inneheld berre den tilkopla ruta for grensesnittadressa og ingenting for det fjerne området.

Spør om peer-ruter er slått på i det heile

Les innstillinga før du endrar noko: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Når peer-routes viser no, er den støtta reparasjonen nmcli connection modify work-wg wireguard.peer-routes yes, etterfølgd av ei ny tilkopling. Å leggje til ei statisk rute i staden verkar til neste aktivering og forsvinn så stille. Den forsvinninga er teiknet: ei rute som kjem tilbake som eit mysterium kvar morgon vert ikkje installert av profilen.

Viss valet allereie er slått på, sjekk om prefikset bur i ein annan tabell med ip route show table all | grep 10. Ei rute i ein tabell som ikkje er hovudtabellen manglar ikkje, ho er berre usynleg for eit oppslag som berre ser i hovudtabellen. Rett policy-rutinga i staden for å stable ein duplikat oppføring oppå.

Legg prefikset til tilkoplinga, ikkje til det køyrande systemet

I tilkoplingseditoren held WireGuard-sida peer-en og AllowedIPs-a, og IPv4-sida held fleire ruter. Ei rute som vert lagd til der overlever nye tilkoplingar fordi ho høyrer til profilen. På kommandolinja er ekvivalenten å leggje ei rute til tilkoplinga i forma med tom gateway, og deretter ta tilkoplinga ned og opp slik at endringa vert brukt.

Vel det smalaste prefikset som dekkjer vertane du treng. Å kopiere dømet /8 frå leverandøren kan svelgje lokale område som tilfeldigvis ligg inni det, og feila som følgjer ser ut som ein øydelagd tunnel snarare enn ei for brei rute.

Delt tunnel vert avgjord av prefikslista

Det finst ingen brytar for delt tunnel; prefikslista er avgjerda. Ein peer med eitt område for kontoret sitt LAN og eitt for eit laboratorienettverk sender nøyaktig desse destinasjonane gjennom tunnelen og let alt anna vere. Éin einskild vert treng ein /32, og overlappande område på to stader treng vertsprefiks til nokon nummererer om eit subnett.

Å velje å ikkje sende noko gjennom tunnelen fører den same avgjerda til grensa si: ei minimal liste held koplinga oppe medan vanleg trafikk held seg på sin vanlege veg. Skriv ned intensjonen, for elles vil neste lesar handsame den korte lista som ei gløymsle og hjelpsamt utvide ho.

Éin eigar av rutetabellen

wg-quick og NetworkManager meiner begge at dei eig rutene til grensesnittet. Importer ein konfigurasjon skriven for wg-quick og start deretter òg wg-quick-tenesta, og du får dupliserte eller motstridande oppføringar der åtferda avheng av kva for ein som køyrde sist. Vel éin eigar og fjern den andre: viss NetworkManager styrer tilkoplinga, deaktiver wg-quick-eininga for det grensesnittet, og legg aldri til ein annan profil for same eining.

Når delinga må følgje ein fysisk adapter i staden for ein destinasjon, har du flytta deg til policy-ruting, og policy-ruting treng òg éin forfattar. Stadfest ved å gjenta ip route get, og deretter nå ein vert inne i det fjerne prefikset med noko som skriv ut kjeldeadressa han valde. Sjekk IPv6 og DNS separat viss profilen ber ein av dei.