Cikli i rrugës së parazgjedhur të WireGuard: gjeni shtegun e pikës fundore

Ndërfaqja ngrihet, konfigurimi i homologut duket i saktë dhe asnjë shtrëngim duarsh nuk përfundon kurrë. Shtimi i një rrugë të parazgjedhur përmes tunelit është hapi që shpesh e shkakton këtë: e njëjta tabelë rrugëzimi vendos tani ku duhet të shkojnë paketat e kriptuara të vetë tunelit, dhe përgjigja që prodhon kthehet përsëri në tunel. Asgjë nuk mund të mbajë paketën e jashtme që do të mbante atë të brendshme, kështu që lidhja ndalon para se të fillojë. Riparimi është i vogël, por ka një rend, dhe verifikimi ka më shumë rëndësi se redaktimi.

Konfirmoni ciklin përpara se të ndryshoni një rrugë

Lexoni adresën aktuale të pikës fundore të homologut dhe më pas pyesni stivën e rrugëzimit ku do të shkonte një paketë drejt asaj adrese. Nëse përgjigja përmend ndërfaqen e tunelit, cikli është konfirmuar dhe nuk nevojitet diagnozë tjetër. Ruani të dyja daljet në regjistrin e ndryshimeve përpara se të prekni çdo gjë, sepse krahasimi pas riparimit janë të njëjtat dy komanda. Një cikël nuk është i hollë sapo shihet; vështirësia është se ndërfaqja duket e shëndetshme ndërsa kjo ndodh.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

Përfshini rregullat e politikës në atë regjistrim. Një rrugë e parazgjedhur që duket e saktë në tabelën kryesore mund të humbasë ende ndaj një rregulli që zgjedh një tabelë tjetër për trafikun e shënuar ose të pashënuar, dhe cikli do të rishfaqet me një tabelë rrugëzimi që duket në rregull.

Lexoni shtegun e pikës fundore, jo shtegun e tunelit

Shtegu i pikës fundore është rruga që ndjekin datagramet e kriptuara drejt adresës publike të homologut, dhe duhet të qëndrojë jashtë tunelit për sa kohë ekziston tuneli. Shtegu i tunelit është gjithçka që homologut i lejohet të mbajë. Këto dy shtigje ndajnë një tabelë rrugëzimi, dhe pikërisht për këtë një hyrje e vetme që kap gjithçka mund t'i shembë dy në njëra-tjetrën. Ndarja e trafikut të tunelit nga transporti i vetë tunelit është i gjithë problemi i projektimit, dhe çdo mjet i mbështetur e zgjidh diku pak më ndryshe.

Kontrolloni të dyja familjet e adresave veçmas nëse ndërfaqja mban të dyja. Një përjashtim IPv4 që funksionon nuk thotë asgjë nëse pika fundore IPv6 është ende e arritshme, dhe një konfigurim i përzier mund të duket se funksionon derisa të zgjidhet adresa IPv6 e homologut.

Riktheni shtegun e pikës fundore me një ndryshim koherent

Ekzistojnë dy qasje të mbështetura, dhe përzierja e tyre është mënyra se si një konfigurim që funksionon bëhet i paparashikueshëm. E para është t'i lini mjetit që zotëron ndërfaqen të menaxhojë të gjithë tunelin: wg-quick ka një trajtim të veçantë për një interval homologësh të parazgjedhur që instalon një tabelë të veçantë, rregulla politike dhe një shenjë soketi, që i mban paketat e jashtme jashtë tunelit. Lini atë mekanizëm të paprekur në vend që të riprodhoni gjysmën e tij me dorë. Një konfigurim që përzien një të parazgjedhur të shtuar me dorë me një menaxher që instalon tashmë shenja dhe rregulla priret të dështojë pas rilidhjes, kur menaxheri rishkruan gjendjen që supozonte hapi manual.

E dyta është një dizajn manual në të cilin pika fundore merr një rrugë hosti të qartë përmes portës fizike. Shtoni atë rrugë përpara asaj të parazgjedhur, zëvendësoni në vend që të shtoni që një hyrje e vjetëruar të mos mund të fitojë, dhe konfirmoni kërkimin më pas.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Verifikoni dhe më pas mbani një rrugë kthimi

Një vulë kohore shtrëngimi duarsh që përparon është prova e parë, dhe është më e fortë se një ndërfaqe që thjesht ekziston. Ndiqeni me një provë aplikacioni përmes tunelit, më pas uleni ndërfaqen qëllimisht dhe konfirmoni që hosti kthehet në një gjendje të përdorshme në vend që të mbajë një rrugë të parazgjedhur që tregon askund. Atë hap të fundit njerëzit e kapërcejnë, dhe është ai që vendos nëse një rindezje do ta lërë makinën pa lidhje.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Përpara gjithë kësaj, ruani gjendjen aktuale të rrugëzimit dhe sigurohuni që ekziston një rrugë hyrjeje që nuk varet nga tuneli: një konsolë, një adresë administrimi jashtë brezit ose një koleg në vend. Një makinë në distancë që humb rrugën e saj të parazgjedhur nuk mund të rikuperohet përmes lidhjes që sapo humbi, dhe hapi më i sigurt në runbook është ai i ndërmarrë përpara komandës së parë.