WireGuard AllowedIPs: rruga që NetworkManager nuk e shtoi kurrë

Numëruesi i shtrëngimeve të duarve përditësohet, ndërfaqja mban adresën e saj, dhe një ping drejt anës tjetër nuk arrin askund. Ky kombinim i huton njerëzit, sepse një shtrëngim duarsh që funksionon duket si provë se tuneli është gati. Nuk është: një tunel mund të jetë plotësisht i negociuar dhe gjithsesi të mos ketë asnjë rrugë që drejton trafikun në të, dhe këto janë dy punë të ndara që kryhen nga dy copa të ndara të gjendjes. Rregullimi varet plotësisht nga cila nga të dyja mungon, prandaj hapi i parë është ta zbulosh atë.

wg-quick i bën të dyja pa u kërkuar. Mbështetja e integruar e WireGuard në NetworkManager instalon gjithashtu rrugë peer si parazgjedhje, gjë që i ngushton të dyshuarit në një opsion të çaktivizuar, një tabelë tjetër rrugëtimi ose një konfigurim të importuar përmes diçkaje tjetër.

Konfirmoni tunelin para se të nisni pas rrugës

wg show printon ndërfaqen, peer-in, pikën fundore dhe moshën e shtrëngimit të fundit të duarve, dhe ip addr show konfirmon se adresa është e pranishme. Një shtrëngim i kohëve të fundit do të thotë që çelësat, pika fundore dhe rruga UDP funksionojnë. Çdo gjë e prishur rri në rrjedhën e poshtme: rrugëtim, filtrim ose zgjidhje emrash.

Pastaj pyesni kernelin çfarë do të bënte me një destinacion të vërtetë në vend të një hipotetik: ip route get 10.42.7.9. Përgjigjja emërton ndërfaqen dalëse dhe adresën burimore që do të mbante paketa. Kur emërton përshtatësin fizik, paketa nuk hyn kurrë në tunel, sado i shëndetshëm të duket shtrëngimi i duarve.

AllowedIPs është filtër dhe listë rrugësh

Prefikset në AllowedIPs bëjnë dy punë. Zgjedhin cili peer mbart një destinacion dalës, dhe vërtetojnë adresën burimore të paketave hyrëse, që është kufiri i rrugëtimit me çelës kriptografik. Në wg-quick ato drejtojnë edhe instalimin automatik të rrugëve, dhe pikërisht kjo sjellje shtesë shpjegon pse i njëjti konfigurim funksionon nga terminali dhe jo nga një klient desktopi.

Në rastin pas këtij artikulli, profili u importua përmes një shtojce të palës së tretë dhe jo përmes mbështetjes së integruar, dhe ndërfaqja u ngrit pa rrugën e prefiksit. Renditja e tabelës e tregon menjëherë: ip route show përmban vetëm rrugën e lidhur për adresën e ndërfaqes, dhe asgjë për intervalin e largët.

Pyetni nëse rrugët peer janë aktivizuar fare

Lexoni cilësimin para se të ndryshoni ndonjë gjë: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Kur peer-routes tregon no, rregullimi i mbështetur është nmcli connection modify work-wg wireguard.peer-routes yes, i ndjekur nga një rilidhje. Shtimi i një rruge statike në vend të kësaj funksionon deri në aktivizimin tjetër dhe pastaj zhduket në heshtje. Ajo zhdukje është shenja: një rrugë që kthehet si enigmë çdo mëngjes nuk instalohet nga profili.

Nëse opsioni është tashmë i aktivizuar, kontrolloni nëse prefiksi jeton në një tabelë tjetër me ip route show table all | grep 10. Një rrugë në një tabelë që nuk është ajo kryesore nuk mungon, ajo thjesht është e padukshme për një kërkim që konsulton vetëm tabelën kryesore. Rregulloni rrugëtimin e politikave në vend që të grumbulloni një zë të dyfishuar sipër.

Shtoni prefiksin lidhjes, jo sistemit që punon

Në redaktorin e lidhjeve, faqja WireGuard mban peer-in dhe AllowedIPs e tij, dhe faqja IPv4 mban rrugë shtesë. Një rrugë e shtuar atje i mbijeton rilidhjeve sepse i përket profilit. Në rreshtin e komandës ekuivalenti është të shtoni një rrugë lidhjes në formën me portë të zbrazët, pastaj të ulni dhe ngrihni lidhjen që ndryshimi të zbatohet.

Zgjidhni prefiksin më të ngushtë që mbulon hostet që ju duhen. Kopjimi i shembullit /8 të ofruesit mund të gëlltisë intervale lokale që ndodhen rastësisht brenda tij, dhe dështimet që vijnë prej tij duken si tunel i prishur dhe jo si rrugë shumë e gjerë.

Tuneli i ndarë vendoset nga lista e prefikseve

Nuk ka ndërprerës për tunel të ndarë; lista e prefikseve është vendimi. Një peer me një interval për LAN-in e zyrës dhe një për një rrjet laboratori dërgon pikërisht ato destinacione përmes tunelit dhe lë gjithçka tjetër në paqe. Një host i vetëm ka nevojë për /32, dhe intervalet që mbivendosen në dy vende kanë nevojë për prefikse hostesh derisa dikush të rinumërojë një nënrrjet.

Zgjedhja për të mos dërguar asgjë përmes tunelit e çon të njëjtin vendim deri në kufi: një listë minimale e mban lidhjen lart, ndërsa trafiku i zakonshëm ndjek rrugën e tij të zakonshme. Shkruajeni qëllimin, sepse përndryshe lexuesi tjetër do ta marrë listën e shkurtër si lëshim dhe do ta zgjerojë me dashamirësi.

Një pronar për tabelën e rrugëve

wg-quick dhe NetworkManager të dy besojnë se zotërojnë rrugët e ndërfaqes. Importoni një konfigurim të shkruar për wg-quick dhe pastaj nisni edhe shërbimin wg-quick, dhe do të merrni zëra të dyfishuar ose në konflikt, sjellja e të cilëve varet nga cili ka punuar i fundit. Zgjidhni një pronar të vetëm dhe hiqni tjetrin: nëse NetworkManager administron lidhjen, çaktivizoni njësinë wg-quick për atë ndërfaqe, dhe mos shtoni kurrë një profil të dytë për të njëjtën pajisje.

Kur ndarja duhet të ndjekë një përshtatës fizik në vend të një destinacioni, keni kaluar në rrugëtim politikash, dhe rrugëtimi i politikave ka nevojë gjithashtu për një autor të vetëm. Verifikoni duke përsëritur ip route get, pastaj duke arritur një host brenda prefiksit të largët me diçka që printon adresën burimore që zgjodhi. Kontrolloni IPv6 dhe DNS veçmas nëse profili mbart ndonjë nga të dyja.