Slik starter du en WireGuard-tunnel som systemd-tjeneste

Du har en WireGuard-profil på /etc/wireguard/wg0.conf og vil ha den opp uten å skrive wg-quick up for hånd etter hver omstart. systemd-malen fra pakken gjør akkurat det: [email protected] kjører wg-quick for profilen med navnet wg0. Den installerer også adresser, ruter, DNS og eventuelle kroker som profilen erklærer, noe som er mer enn å bare laste inn en nøkkel i kjernen. Kontroller at malen finnes på systemet ditt før du antar at den gjør det.

Resten av denne gjennomgangen følger rekkefølgen du faktisk ville gjort det i.

Finn uniten og profilen den leser

List opp unitfilene med systemctl list-unit-files 'wg-quick*'. På distribusjoner som pakker den, ser du [email protected], med instansnavnet hentet fra profilen. Instansen løses til /etc/wireguard/<name>.conf, så wg-quick@wg0 leser bare wg0.conf og ingenting annet. Hvis listen er tom, er verktøypakken ikke installert, og ingen mengde aktivering hjelper.

Hold profilen på modus 600 og eid av root. Den inneholder en privat nøkkel, og uniten kjører gjerne med dårligere rettigheter hvis du lar den.

Reis den og les journalen

Start instansen med systemctl start wg-quick@wg0, og sjekk deretter systemctl status wg-quick@wg0 og journalctl -u wg-quick@wg0 -b. En unit som starter og avsluttes med en gang har vanligvis en profilfeil, og journalen navngir linjen. Bekreft med wg show at grensesnittet finnes og at det siste håndtrykket er nylig. wg-quick-manualen viser hva skriptet gjør utover selve grensesnittet.

Et konfigurert grensesnitt uten håndtrykk er et sti- eller nøkkelproblem, ikke et tjenesteproblem.

Hold én administrator ansvarlig

Hvis NetworkManager eller en annen klient allerede eier tunnelen, lager oppstart av systemd-uniten en andre eier for det samme grensesnittet, rutene og DNS. Symptomene er forvirrende: tunnelen kommer opp, så forsvinner rutene, eller DNS faller tilbake etter noen sekunder. Velg én administrator og deaktiver den andre for den profilen. Journalen viser vanligvis overtakelsen som rute- eller resolverendringer rett etter at uniten rapporterer suksess.

To administratorer deler ikke eierskap. De overskriver hverandre.

Test stopp, omstart og oppstart

Kjør systemctl stop wg-quick@wg0 og bekreft at grensesnittet er borte og at rutene er fjernet. Start den så igjen og sjekk at rutene kommer tilbake, fordi nedrivingsfeil viser seg som gjenværende ruter snarere enn som mislykkede starter. Til slutt aktiverer du den ved oppstart med systemctl enable --now wg-quick@wg0 og starter på nytt én gang.

Ved oppstart må endepunktets navn løses før uniten kjører. Hvis DNS ikke er oppe ennå, feiler uniten og forblir feilet til du starter den for hånd.

Skriv ned eieren

Skriv ned hvilken profil uniten leser, hvilken administrator som eier grensesnittet, og hvor filen kom fra. Når noen senere importerer den samme tunnelen i en skrivebordsklient, er den noten forskjellen mellom en migrering og to utrullinger som slåss om én adresse. Skriv også ned grensesnittnavnet, fordi to profiler med lignende navn er den vanlige kilden til forvirring.

En tunnel med to eiere virker til den første omstarten, og da er den et mysterium. Derfor hører noten hjemme i repositoriet og ikke i en chat-tråd.