Kako zagnati tunel WireGuard kot storitev systemd

Imate profil WireGuard v /etc/wireguard/wg0.conf in želite, da je dvignjen brez ročnega vnašanja wg-quick up po vsakem ponovnem zagonu. Predloga systemd iz paketa stori natanko to: [email protected] zažene wg-quick za profil z imenom wg0. Namesti tudi naslove, poti, DNS in vse kavlje, ki jih profil navaja, kar je več kot le nalaganje ključa v jedro. Preverite, ali predloga v vašem sistemu res obstaja, preden to domnevate.

Preostanek tega vodiča sledi vrstnemu redu, v katerem bi to v resnici počeli.

Poiščite enoto in profil, ki ga bere

Naštejte datoteke enot z systemctl list-unit-files 'wg-quick*'. Na distribucijah, ki to pakirajo, boste videli [email protected], pri čemer je ime instance vzeto iz profila. Instanca se razreši v /etc/wireguard/<name>.conf, zato wg-quick@wg0 bere samo wg0.conf in nič drugega. Če je seznam prazen, paket orodij ni nameščen in nobena količina omogočanja ne bo pomagala.

Držite profil v načinu 600 in v lasti roota. Vsebuje zasebni ključ, enota pa bo z veseljem tekla s slabšimi dovoljenji, če ji dovolite.

Dvignite ga in preberite journal

Zaženite instanco z systemctl start wg-quick@wg0, nato preverite systemctl status wg-quick@wg0 in journalctl -u wg-quick@wg0 -b. Enota, ki se zažene in takoj konča, ima običajno napako v profilu, journal pa navede vrstico. Potrdite z wg show, da vmesnik obstaja in da je zadnje rokovanje sveže. Priročnik za wg-quick navaja, kaj skript počne onkraj samega vmesnika.

Konfiguriran vmesnik brez rokovanja je težava s potjo ali ključem, ne s storitvijo.

Ohranite enega upravitelja

Če tunel že ima NetworkManager ali drug odjemalec, zagon enote systemd ustvari drugega lastnika za isti vmesnik, poti in DNS. Simptomi so zmedeni: tunel se dvigne, nato poti izginejo, ali DNS se po nekaj sekundah vrne nazaj. Izberite enega upravitelja in onemogočite drugega za ta profil. Journal običajno pokaže prevzem kot spremembe poti ali razreševalnika takoj po tem, ko enota poroča o uspehu.

Dva upravitelja si lastništva ne delita. Prepisujeta drug drugega.

Preizkusite zaustavitev, ponovni zagon in zagon

Zaženite systemctl stop wg-quick@wg0 in potrdite, da je vmesnik izginil in da so bile poti odstranjene. Nato ga znova zaženite in preverite, ali se poti vrnejo, ker se napake pri razgradnji pokažejo kot preostale poti in ne kot neuspešni zagonski postopki. Nazadnje ga omogočite ob zagonu z systemctl enable --now wg-quick@wg0 in enkrat znova zaženite.

Ob zagonu je treba ime končne točke razrešiti, preden enota teče. Če DNS še ni dvignjen, enota ne uspe in ostane neuspešna, dokler je ne zaženete ročno.

Zapišite lastnika

Zapišite, kateri profil enota bere, kateri upravitelj ima vmesnik in od kod je prišla datoteka. Ko nekdo pozneje uvozi isti tunel v namiznega odjemalca, je ta zapisek razlika med migracijo in dvema uvajanjema, ki se borita za en naslov. Zapišite tudi ime vmesnika, ker sta dva profila s podobnimi imeni običajni vir zmede.

Tunel z dvema lastnikoma deluje do prvega ponovnega zagona, potem pa postane uganka. Zato zapisek sodi v repozitorij in ne v nit klepeta.