WireGuard AllowedIPs: pot, ki je NetworkManager nikoli ni dodal

Števec rokovanj se posodobi, vmesnik obdrži svoj naslov, ping na drugo stran pa ne pride nikamor. Ta kombinacija zmede ljudi, ker delujoče rokovanje izgleda kot dokaz, da je tunel pripravljen. Ni: tunel je lahko popolnoma izpogajan in vseeno nima nobene poti, ki bi usmerjala promet vanj, in to sta dve ločeni nalogi, ki ju opravljata dva ločena dela stanja. Popravek je v celoti odvisen od tega, katera od obeh manjka, zato je prvi korak ugotoviti to.

wg-quick opravi oboje, ne da bi ga kdo prosil. Vgrajena podpora za WireGuard v NetworkManagerju tudi privzeto namesti poti do peerov, kar zoži osumljence na onemogočeno možnost, drugo usmerjevalno tabelo ali konfiguracijo, uvoženo prek nečesa drugega.

Potrdite tunel, preden se poženete za potjo

wg show izpiše vmesnik, peera, končno točko in starost zadnjega rokovanja, ip addr show pa potrdi, da je naslov prisoten. Nedavno rokovanje pomeni, da ključi, končna točka in pot UDP delujejo. Vse pokvarjeno sedi dolvodno od njih: usmerjanje, filtriranje ali razreševanje imen.

Nato vprašajte jedro, kaj bi naredilo s pravim ciljem namesto hipotetičnim: ip route get 10.42.7.9. Odgovor poimenuje izhodni vmesnik in izvorni naslov, ki bi ga paket nosil. Ko poimenuje fizični vmesnik, paket nikoli ne vstopi v tunel, ne glede na to, kako zdravo je videti rokovanje.

AllowedIPs je filter in seznam poti

Predpone v AllowedIPs opravijo dve nalogi. Izberejo, kateri peer nosi izhodni cilj, in preverijo izvorni naslov dohodnih paketov, kar je meja usmerjanja po kriptografskem ključu. V wg-quick tudi usmerjajo samodejno nameščanje poti, in prav to dodatno vedenje je razlog, da ista konfiguracija deluje iz terminala in ne iz namiznega odjemalca.

V primeru, ki stoji za tem člankom, je bil profil uvožen prek vtičnika tretje strani in ne prek vgrajene podpore, vmesnik pa se je dvignil brez predponske poti. Izpis tabele to pokaže takoj: ip route show vsebuje samo povezano pot za naslov vmesnika in nič za oddaljeno območje.

Vprašajte, ali so poti do peerov sploh omogočene

Preberite nastavitev, preden kar koli spremenite: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Ko peer-routes kaže no, je podprt popravek nmcli connection modify work-wg wireguard.peer-routes yes, ki mu sledi ponovna povezava. Dodajanje statične poti namesto tega deluje do naslednje aktivacije in nato tiho izgine. To izginotje je namig: poti, ki se vsako jutro vrne kot uganka, ne namesti profil.

Če je možnost že omogočena, preverite z ip route show table all | grep 10, ali predpona živi v drugi tabeli. Pot v tabeli, ki ni glavna, ne manjka, le nevidna je za iskanje, ki pregleda samo glavno tabelo. Popravite politično usmerjanje, namesto da bi na vrh zložili podvojen vnos.

Predpono dodajte povezavi, ne delujočemu sistemu

V urejevalniku povezav stran WireGuard drži peera in njegove AllowedIPs, stran IPv4 pa dodatne poti. Tu dodana pot preživi ponovne povezave, ker pripada profilu. Na ukazni vrstici je ustreznica dodati pot k povezavi v obliki s praznimi vrati in nato povezavo spustiti in dvigniti, da se sprememba uporabi.

Izberite najožjo predpono, ki pokriva gostitelje, ki jih potrebujete. Kopiranje ponudnikovega primera /8 lahko pogoltne lokalna območja, ki po naključju ležijo znotraj, in posledične okvare izgledajo kot pokvarjen tunel in ne kot preširoka pot.

O razdeljenem tuneliranju odloča seznam predpon

Stikala za razdeljeni tunel ni; seznam predpon je odločitev. Peer z enim območjem za pisarniški LAN in enim za laboratorijsko omrežje pošlje točno te cilje skozi tunel in vse ostalo pusti pri miru. Posamezen gostitelj potrebuje /32, območja, ki se prekrivajo na dveh lokacijah, pa potrebujejo predpone gostiteljev, dokler nekdo ne preštevilči podomrežja.

Odločitev, da skozi tunel ne pošljete ničesar, pripelje isto odločitev do meje: minimalni seznam ohrani povezavo dvignjeno, medtem ko običajni promet sledi svoji običajni poti. Zapišite namero, sicer bo naslednji bralec kratek seznam vzel za spregled in ga postrežljivo razširil.

En lastnik usmerjevalne tabele

wg-quick in NetworkManager oba menita, da imata v lasti poti vmesnika. Uvozite konfiguracijo, napisano za wg-quick, in nato zaženite tudi storitev wg-quick, pa dobite podvojene ali nasprotujoče si vnose, katerih vedenje je odvisno od tega, katera je tekla zadnja. Izberite enega lastnika in odstranite drugega: če povezavo upravlja NetworkManager, onemogočite enoto wg-quick za ta vmesnik in nikoli ne dodajte drugega profila za isto napravo.

Ko mora delitev slediti fizičnemu vmesniku namesto cilju, ste se preselili v politično usmerjanje, politično usmerjanje pa prav tako potrebuje enega avtorja. Preverite s ponovitvijo ip route get in nato z dosego gostitelja znotraj oddaljene predpone z nečim, kar izpiše izbrani izvorni naslov. Če profil nosi katero od obeh, preverite IPv6 in DNS ločeno.