NetworkManager alebo wg-quick: komu patria vaše trasy WireGuard?

Zmeníte AllowedIPs v súbore WireGuard, reštartujete tunel a smerovacia tabuľka vyzerá presne ako predtým. Obvyklá reakcia je zmazať problematickú trasu a ísť ďalej, čo funguje, kým ju ďalšie pripojenie nevráti. Súbor, ktorý ste upravili, nemusí byť objekt, ktorý vytvoril stav, na ktorý sa pozeráte. Dvaja správcovia môžu na jednom počítači prevádzkovať rovnaký protokol a rozhranie v každom okamihu vlastní len jeden z nich.

Mýtus: na počítači je jediná konfigurácia WireGuard

wg-quick číta súbor v /etc/wireguard/ a vytvorí rozhranie, keď ho zdvihnete. NetworkManager ukladá profil pripojenia vo vlastnom formáte keyfile a vykresľuje ho pri aktivácii, a import súboru wg-quick skopíruje hodnoty do tohto profilu namiesto toho, aby naň odkazoval. Úprava originálu potom nič nezmení, pretože profil ho už nečíta. Rovnaký zoznam partnerov a kľúčov tak môže existovať dvakrát, pričom platí druhá kópia.

Príznak, ktorý stojí za zapamätanie: úpravy, ktoré prežijú reštart, ale nie opätovný import, pochádzajú z jedného úložiska, a úpravy, ktoré pri reštarte zmiznú, z druhého.

Jeden praktický príklad rozdelenie objasní. Porovnajte nmcli connection show s systemctl status wg-quick@wg0, potom skontrolujte, na ktorom rozhraní trasy skutočne visia. Ak je služba mŕtva a rozhranie je hore, prácu robí profil, nech súbor hovorí čokoľvek.

Mýtus: smerovacie pravidlá sú súčasťou WireGuardu

Zariadenie WireGuard v jadre pozná partnerov a kľúče a o politickom smerovaní nevie nič. Akékoľvek ip rule záznamy a ďalšie tabuľky, ktoré vidíte, nainštaloval nástroj, ktorý rozhranie zdvihol. wg-quick môže pridať fwmark a vyhradenú tabuľku plus pravidlá, ktoré na ňu ukazujú, zatiaľ čo NetworkManager inštaluje trasy cez vlastné nastavenia ipv4 a DNS necháva tomu resolver backendu, ktorý systém používa. Rovnaký tunel, iné vedľajšie účinky.

Pred akoukoľvek zmenou si prečítajte ip rule a ip route show table all a poznamenajte si, v ktorej tabuľke žije každá trasa. Číslo tabuľky, ktoré ste nenakonfigurovali, je silná nápoveda o nástroji, ktorý ju vytvoril.

Mýtus: zmazanie trasy je oprava

Trasa zmazaná za behu je trasa, ktorú vlastník pri ďalšej aktivácii znova nainštaluje, a aktivácia môže prebehnúť bez vás: prebudenie notebooku, zakolísanie spoja, reštart služby alebo automatické pripojenie NetworkManageru. Preto sa rovnaká trasa vracia a preto sa obchádzka zdá nespoľahlivá, nie nesprávna. Najprv určite správcu, potom zmeňte vstup, ktorý tento správca skutočne číta.

Opätovné pripojenie a reštart príslušnej služby je test, ktorý oddeľuje skutočnú opravu od tej, ktorá len vyzerá upravene.

Vyberte jedného vlastníka a druhého odstráňte

Vyberte správcu, ktorý vaše nasadenie podporuje, a potom konkurenčnú aktiváciu vypnite jeho dokumentovaným ovládaním, namiesto toho, aby ste dúfali, že zostane nečinná. Maskovaná služba wg-quick alebo zmazaný profil NetworkManageru je explicitný; nechať obe zapnuté a nechať ich pretekať nie je. Pred vypnutím čohokoľvek zachovajte funkčný prístup, pretože rozhranie, ktoré nesie vašu vzdialenú reláciu, môže byť práve to, ktoré sa chystáte odstrániť.

Po zmene overte zahrnutú a vylúčenú prevádzku, potom DNS a potom raz reštartujte. Ak stav prežije reštart s jediným správcom, máte vlastníka namiesto náhody.

Všeobecné pravidlo stojí za to pamätať si aj mimo WireGuardu: keď sa nejaké nastavenie stále vracia, prestaňte mazať výsledok a nájdite proces, ktorý ho neustále vytvára.