Peer WireGuard odhaja skozi napačen WAN: pet preverjanj po vrsti

Dve navzgor usmerjeni povezavi, en prehod in peer WireGuard, katerega promet se vedno znova pojavlja na rezervni liniji. Rokovanje ves čas ostaja zdravo. Zato je simptom lahko napačno brati kot okvaro WireGuarda namesto kot težavo usmerjanja.

Izvedite spodnja preverjanja po vrsti. Vsako ima pogoj za ustavitev, preskakovanje naprej pa običajno da samozavesten napačen odgovor.

Ločite rokovanje od posredovanega toka

Šifrirana izmenjava s peerom ima pot do končne točke javnega naslova strežnika. Posredovani odjemalski promet ima drug cilj in ga lahko izberejo oznake ali pravila politike. To sta dve odločitvi usmerjanja, ki si delita en vmesnik. Obravnavati eno kot dokaz o drugi je prva napaka.

Ustavite se takoj, ko se ujamete, da sklepate iz rokovanja. To je dokaz le o poti do končne točke.

Berite pravilo politike, ne privzete tabele

Privzeta tabela pokaže, kaj se zgodi, ko se ne ujema nobeno pravilo politike. Na prehodu, ki usmerja po viru, oznaki ali cilju, odločilno pravilo živi drugje. Navadna tabela je lahko videti povsem razumna, medtem ko se prava izbira naredi nad njo.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Preberite pravila politike in tabele, na katere kažejo. Nato potrdite, katero pravilo ustreza vašemu testnemu toku. Pravilo, ki se sklicuje na vmesnik, ki ne nosi več predvidene navzgor usmerjene povezave, je ugotovitev, ne podrobnost. Iskanje poti na koncu pokaže odgovor veliko hitreje kot branje tabele in ugibanje.

Preverite oznako in prevod skupaj

Usmerjanje po politiki temelji na oznaki paketa, nastavljeni prej v verigi. Če pravilo označevanja zgreši vaš promet, tok pade v glavno tabelo in odide skozi tisto, kar je tam privzeto. Posredovani paketi pogosto preskočijo verige, napisane za lokalno ustvarjen promet.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

Prevod se mora ujemati z navzgor usmerjeno povezavo, ki nosi tok. Pravilo, ki prevaja na primarni naslov, medtem ko paket odhaja po rezervni liniji, ustvari odgovore, naslovljene na vmesnik, ki ga tok ni nikoli uporabil. Preverite lastni pogoj vmesnika pri pravilu prevoda. Brezpogojno pravilo deluje, dokler se ne uporabi druga navzgor usmerjena povezava, nato pa odpove tako, da je videti občasno.

Opazujte, kateri vmesnik nosi odgovor

Zajemajte na obeh navzgor usmerjenih povezavah, medtem ko teče ena zahteva. Zabeležite, kateri vmesnik nosi zahtevo in kateri odgovor. Asimetrične poti je veliko lažje videti kot predvideti.

Če odgovor prispe po napačni navzgor usmerjeni povezavi, se je težava preselila z WireGuarda na sledenje povezavam ali na prevod. Nobena sprememba konfiguracije peera tega ne bo popravila.

Spremenite eno stvar s potjo nazaj

Pred urejanjem pravil politike na prehodu ohranite dostop prek konzole ali zunaj pasu. Naredite eno spremembo, preizkusite isti dovoljeni cilj, nato se znova povežite in potrdite, da rokovanje še vedno uporablja predvideno pot do končne točke. Dodajte številčni preizkus za drugo družino naslovov, ker politika samo za v4 pušča isto napako na voljo.

Zabeležite, katero navzgor usmerjeno povezavo je uporabil vsak tok. Ta zapis spremeni naslednje poročilo v dvominutno preverjanje namesto celega popoldneva. WireGuardove opombe o imenskih prostorih in usmerjanju opisujejo, kako namerno ločiti pot do končne točke od tuneliranega prometa, kar je običajno čisteje kot kopirati obhod z privzeto potjo.