NetworkManager ali wg-quick: kdo ima v lasti vaše poti WireGuard?

Spremenite AllowedIPs v datoteki WireGuard, znova zaženete tunel, in usmerjevalna tabela je videti natanko tako kot prej. Običajen odziv je, da izbrišete motečo pot in greste naprej, kar deluje, dokler je naslednja ponovna povezava ne vrne. Datoteka, ki ste jo uredili, ni nujno objekt, ki je ustvaril stanje, ki ga gledate. Dva upravitelja lahko na enem računalniku poganjata isti protokol, in vmesnik ima v vsakem trenutku v lasti le eden od njiju.

Mit: na računalniku je samo ena konfiguracija WireGuard

wg-quick prebere datoteko v /etc/wireguard/ in zgradi vmesnik, ko ga dvignete. NetworkManager shrani profil povezave v lastnem formatu keyfile in ga upodobi ob aktivaciji, in uvoz datoteke wg-quick kopira vrednosti v ta profil, namesto da bi se nanj skliceval. Urejanje izvirnika pozneje ne spremeni ničesar, ker ga profil ne bere več. Isti seznam partnerjev in ključev lahko zato obstaja dvakrat, pri čemer velja druga kopija.

Znak, ki se ga velja zapomniti: spremembe, ki preživijo ponovni zagon, ne pa ponovnega uvoza, prihajajo iz ene shrambe, spremembe, ki ob ponovnem zagonu izginejo, pa iz druge.

En praktičen primer naredi delitev očitno. Primerjajte nmcli connection show s systemctl status wg-quick@wg0, nato preverite, na kateri vmesnik so poti v resnici obešene. Če je storitev mrtva in je vmesnik dvignjen, delo opravlja profil, karkoli že pravi datoteka.

Mit: usmerjevalna pravila so del WireGuarda

Naprava WireGuard v jedru pozna partnerje in ključe, o usmerjanju po pravilniku pa ne ve ničesar. Kakršne koli ip rule vnose in dodatne tabele, ki jih vidite, je namestilo orodje, ki je dvignilo vmesnik. wg-quick lahko doda fwmark in namensko tabelo ter pravila, ki kažejo nanjo, medtem ko NetworkManager namešča poti prek lastnih nastavitev ipv4 in DNS prepusti tistemu resolver backendu, ki ga uporablja sistem. Isti tunel, drugačni stranski učinki.

Preden karkoli spremenite, preberite ip rule in ip route show table all ter zapišite, v kateri tabeli živi vsaka pot. Številka tabele, ki je niste nastavili, je močan namig o orodju, ki jo je ustvarilo.

Mit: brisanje poti je popravek

Pot, izbrisana med delovanjem, je pot, ki jo bo lastnik ob naslednji aktivaciji znova namestil, in aktivacija se lahko zgodi brez vas: prebujanje prenosnika, tresljaj povezave, ponovni zagon storitve ali samodejna povezava NetworkManagerja. Zato se ista pot vrača in zato se obhod zdi nezanesljiv, ne pa napačen. Najprej določite upravitelja, nato spremenite vhod, ki ga ta upravitelj v resnici bere.

Ponovna povezava in ponovni zagon ustrezne storitve je preizkus, ki loči resničen popravek od tistega, ki je le videti urejen.

Izberite enega lastnika in odstranite drugega

Izberite upravitelja, ki ga podpira vaša namestitev, nato onemogočite konkurenčno aktivacijo prek njegovega dokumentiranega upravljanja, namesto da bi upali, da bo ostala nedejavna. Maskirana storitev wg-quick ali izbrisan profil NetworkManagerja je ekspliciten; pustiti obe omogočeni in ju pustiti tekmovati ni. Preden karkoli onemogočite, ohranite delujoč dostop, ker je vmesnik, ki nosi vašo oddaljeno sejo, morda prav tisti, ki ga boste odstranili.

Po spremembi preverite vključen in izključen promet, nato DNS in nato enkrat znova zaženite. Če stanje preživi ponovni zagon z enim upraviteljem, imate lastnika namesto naključja.

Splošno pravilo velja ohraniti tudi zunaj WireGuarda: ko se neka nastavitev nenehno vrača, prenehajte brisati rezultat in poiščite proces, ki ga nenehno ustvarja.