WireGuard AllowedIPs: trasa, ktorú NetworkManager nikdy nepridal

Počítadlo handshake sa aktualizuje, rozhranie si drží svoju adresu a ping na druhú stranu nikam nedorazí. Táto kombinácia mätie ľudí, pretože funkčný handshake vyzerá ako dôkaz, že tunel je pripravený. Nie je: tunel môže byť plne vyjednaný a napriek tomu nemá žiadnu trasu, ktorá by doň privádzala prevádzku, a to sú dve oddelené úlohy, ktoré plnia dve oddelené časti stavu. Oprava závisí úplne od toho, ktorá z tých dvoch chýba, takže prvým krokom je to zistiť.

wg-quick robí oboje bez toho, aby ho o to niekto žiadal. Vstavaná podpora WireGuard v NetworkManageri tiež predvolene inštaluje trasy k peerom, čo zužuje podozrivých na vypnutú voľbu, inú smerovaciu tabuľku alebo konfiguráciu importovanú cez niečo iné.

Potvrďte tunel, skôr než sa pustíte za trasou

wg show vypíše rozhranie, peera, koncový bod a vek posledného handshake a ip addr show potvrdí, že adresa je prítomná. Nedávny handshake znamená, že kľúče, koncový bod a cesta UDP fungujú. Všetko pokazené sedí po prúde od nich: smerovanie, filtrovanie alebo preklad mien.

Potom sa jadra opýtajte, čo by urobilo so skutočným cieľom namiesto hypotetického: ip route get 10.42.7.9. Odpoveď pomenuje odchádzajúce rozhranie a zdrojovú adresu, ktorú by paket niesol. Keď pomenuje fyzický adaptér, paket do tunela nikdy nevstúpi, nech handshake vyzerá akokoľvek zdravo.

AllowedIPs je filter aj zoznam trás

Prefixy v AllowedIPs robia dve veci. Vyberajú, ktorý peer nesie odchádzajúci cieľ, a overujú zdrojovú adresu prichádzajúcich paketov, čo je hranica smerovania podľa kryptokľúča. Vo wg-quick riadia aj automatickú inštaláciu trás, a práve toto správanie navyše je dôvod, prečo rovnaká konfigurácia funguje z terminálu a nie z klientskej aplikácie na ploche.

V prípade, ktorý stojí za týmto článkom, bol profil importovaný cez zásuvný modul tretej strany a nie cez vstavanú podporu, a rozhranie naskočilo bez prefixovej trasy. Výpis tabuľky to ukáže okamžite: ip route show obsahuje len pripojenú trasu pre adresu rozhrania a nič pre vzdialený rozsah.

Opýtajte sa, či sú trasy k peerom vôbec zapnuté

Prečítajte nastavenie, skôr než čokoľvek zmeníte: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Keď peer-routes ukazuje no, podporovaná oprava je nmcli connection modify work-wg wireguard.peer-routes yes, po ktorej nasleduje opätovné pripojenie. Pridanie statickej trasy namiesto toho funguje do ďalšej aktivácie a potom ticho zmizne. To zmiznutie je stopa: trasu, ktorá sa každé ráno vracia ako záhada, neinštaluje profil.

Ak je voľba už zapnutá, skontrolujte pomocou ip route show table all | grep 10, či prefix nežije v inej tabuľke. Trasa v tabuľke, ktorá nie je hlavná, nechýba, je len neviditeľná pre vyhľadanie, ktoré sa pozerá iba do hlavnej tabuľky. Opravte politické smerovanie namiesto toho, aby ste navrch naukladali duplicitný záznam.

Pridajte prefix k spojeniu, nie do bežiaceho systému

V editore spojení drží stránka WireGuard peera a jeho AllowedIPs a stránka IPv4 ďalšie trasy. Trasa tam pridaná prežije opätovné pripojenia, pretože patrí profilu. Na príkazovom riadku je ekvivalentom pridať trasu k spojeniu vo forme s prázdnou bránou a potom spojenie zvesiť a zdvihnúť, aby sa zmena uplatnila.

Vyberte najužší prefix, ktorý pokrýva hostiteľov, ktorých potrebujete. Skopírovanie príkladu /8 od poskytovateľa môže prehltnúť miestne rozsahy, ktoré v ňom náhodou ležia, a výsledné poruchy vyzerajú ako pokazený tunel, nie ako príliš široká trasa.

O rozdelenom tunelovaní rozhoduje zoznam prefixov

Prepínač rozdeleného tunela neexistuje; zoznam prefixov je rozhodnutie. Peer s jedným rozsahom pre kancelársku LAN a jedným pre laboratórnu sieť posiela presne tie ciele tunelom a všetko ostatné necháva na pokoji. Jednotlivý hostiteľ potrebuje /32 a prekrývajúce sa rozsahy na dvoch miestach potrebujú prefixy hostiteľov, kým niekto prečísluje podsieti.

Voľba neposielať tunelom nič dotiahne to isté rozhodnutie do krajnosti: minimálny zoznam nechá spojenie hore, zatiaľ čo bežná prevádzka ide svojou obvyklou cestou. Zapíšte ten zámer, pretože inak ďalší čitateľ bude krátky zoznam považovať za opomenutie a ochotne ho rozšíri.

Jeden vlastník smerovacej tabuľky

wg-quick aj NetworkManager veria, že vlastnia trasy rozhrania. Importujte konfiguráciu písanú pre wg-quick a potom ešte spustite službu wg-quick, a dostanete duplikované alebo konfliktné záznamy, ktorých správanie závisí od toho, ktorý bežal naposledy. Vyberte jedného vlastníka a druhého odstráňte: ak spojenie spravuje NetworkManager, vypnite jednotku wg-quick pre toto rozhranie a nikdy nepridávajte druhý profil pre to isté zariadenie.

Keď rozdelenie musí sledovať fyzický adaptér namiesto cieľa, presunuli ste sa do politického smerovania a politické smerovanie tiež potrebuje jedného autora. Overte to zopakovaním ip route get a potom dosiahnutím hostiteľa vnútri vzdialeného prefixu niečím, čo vypíše zvolenú zdrojovú adresu. Ak profil nesie jedno aj druhé, skontrolujte IPv6 a DNS oddelene.