WireGuard: asnjë rrugë drejt partnerit pas një ndryshimi të nënrrjetit — dy dalje

Dorështrëngimi është i freskët në wg show, pika e fundit është e saktë, çelësat nuk kanë ndryshuar kurrë — dhe ping vazhdon të thotë se nuk ka rrugë drejt partnerit. Ndryshuat nënrrjetin e tunelit një orë më parë. Ai simptom është firma e një mospërputhjeje prefiksi dhe jo e një problemi me çelësat: WireGuard përfundoi dorështrëngimin dhe më pas i hodhi të dhënat sepse një adresë burimi nuk përputhet më me atë që do të pranojë partneri marrës. Ka dy mënyra të arsyeshme për të zbatuar një ndryshim të nënrrjetit, dhe ato dështojnë në vende të ndryshme.

Dy mënyra për të zbatuar ndryshimin, dhe sa kushton secila

Opsioni A është rinumërimi në vend: ndryshoni adresën e ndërfaqes, vargjet e partnerëve, rrugët dhe çdo kopje të konfigurimit, pastaj ringarkoni. Opsioni B është të ndërtoni një ndërfaqe të dytë në prefiksin e ri pranë asaj të vjetre, të zhvendosni partnerët dhe të hiqni ndërfaqen e vjetër pasi trafiku të jetë zhvendosur vërtet.

Është pikërisht gjendja gjysmë e zbatuar ajo që e bën opsionin A të rrezikshëm, sepse nuk duket i prishur. Ndërfaqja ngrihet, dorështrëngimi ka sukses dhe dështon vetëm rruga e të dhënave. Opsioni B kushton më shumë punë, por mban gjallë një rrugë që funksionon ndërsa gjeni çdo referencë.

Çfarë duhet të lëvizë bashkë në anën tuaj

Katër gjëra në hostin lokal përshkruajnë të njëjtin nënrrjet, dhe ndryshimi i njërës është ndryshim i të gjithave: adresa e ndërfaqes, AllowedIPs i çdo partneri, rruga që sistemi përdor për ato destinacione dhe çdo gjë që menaxheri instalon në emrin tuaj. Me wg-quick, dy të fundit gjenerohen nga konfigurimi sa herë që ndërfaqja ngrihet, kështu që një kopje e vjetruar riinstalon në heshtje prefiksin e vjetër.

Krahasoni atë që është konfiguruar me atë që është e gjallë në vend që t'i besoni njërës prej tyre:

wg show
wg showconf wg0
ip addr show wg0
ip route get 10.90.0.5

Kërkimi i rrugës është hapi që njerëzit e kapërcejnë. Ai përgjigjet se çfarë do të bënte bërthama në të vërtetë për një destinacion, duke përfshirë një rrugë më specifike të lënë nga një menaxher ose një mjedis ekzekutimi kontejnerësh. Nëse raporton një ndërfaqe të ndryshme nga tuneli, konfigurimi nuk është problemi.

Për një ndërfaqe në punë, zbatojeni skedarin e redaktuar pa e shkëputur tunelin:

wg syncconf wg0 <(wg-quick strip wg0)

Kjo përditëson partnerët dhe vargjet në vend. Nuk përditëson adresën e ndërfaqes apo rrugët, sepse ato nuk janë cilësime të WireGuard — kështu që rinumërimi ende kërkon rikrijimin e ndërfaqes ose ndryshimin e adresës me ip, dhe më pas rishikimin e rrugëzimit.

Çfarë duhet të lëvizë bashkë në skajin e largët

Këtu zakonisht vdes një ndryshim i nënrrjetit. AllowedIPs nuk është vetëm një sugjerim rrugëzimi; është edhe lista e adresave burimore që një partner mund të paraqesë. Kur rinumëroni klientët dhe lini AllowedIPs të serverit në prefiksin e vjetër, serveri pranon dorështrëngimin, merr paketat e kriptuara dhe i hedh ato sepse burimi i brendshëm nuk përputhet me asnjë varg që lidh me atë partner. Nuk regjistrohet asnjë gabim dhe klienti shfaq një afat skadimi.

Prandaj përditësoni anën marrëse me qëllim: zëri i partnerit në server duhet të listojë prefiksin e ri të klientit, rruga e kthimit e vetë serverit duhet të tregojë tunelin për atë prefiks, dhe çdo rrjet në rrjedhën e poshtme pas serverit duhet të mësojë rrugën e re. Politika e murit të zjarrit që emërtonte vargun e vjetër kërkon të njëjtin trajtim, dhe po ashtu çdo gjë që bën zgjedhje bazuar në burim.

Diagnostifikimi që i ndan të dyja dështimet është i lirë. Një dorështrëngim i freskët pa të dhëna do të thotë se tuneli është lart dhe adresimi i brendshëm nuk pajtohet. Mospasja fare e dorështrëngimit do të thotë se po shikoni arritshmërinë ose çelësat. Mos i rrotulloni çelësat për një problem prefiksi; kjo rivendos të vetmen gjë që funksiononte.

Kopje të vjetruara që i mbijetojnë redaktimit tuaj

Redaktimi i një skedari nuk është e njëjta gjë me ndryshimin e sistemit që punon, dhe kopjet janë më të shumta nga sa njerëzit presin: njësia ose menaxheri që zotëron ndërfaqen, një profil i dytë me të njëjtin emër në një drejtori tjetër, një kontejner me konfigurimin e pjekur në një imazh, një ndërfaqe ruteri që mban versionin e vet të redaktuar dhe një aplikacion klienti që riimporton një tunel të ruajtur në nisje. Secili prej tyre mund të rikthejë prefiksin e vjetër pasi ndryshimi juaj duket i përfunduar.

Edhe emrat udhëtojnë. Nëse rruga numerike funksionon por emri i hostit dështon, një regjistrim DNS i brendshëm ose konfigurimi i një shërbimi ende tregon adresën e vjetër të tunelit. Rregulloni referencën në vend që të zgjeroni çdo varg partneri, gjë që do të mbulonte problemin e vërtetë dhe njëkohësisht do të zmadhonte ACL-në e burimit.

Mbani një rrugë rikuperimi të hapur ndërsa punoni: një mënyrë të dytë për të hyrë në host, një konsolë serike ose një kthim të planifikuar të skedarëve të konfigurimit. Një ndryshim tuneli që ju mbyll jashtë makinës që po ndryshoni është mënyra më e zakonshme që kjo detyrë të bëhet një mbrëmje.

Zgjedhja midis të dyjave, dhe verifikimi i kalimit

Zgjidhni A kur zotëroni çdo partner, numri është i vogël dhe një ndërprerje e shkurtër është e pranueshme. Zgjidhni B kur partnerët janë duar të largëta që nuk i kontrolloni, kur një lidhje midis siteve duhet të mbetet lart, ose kur nuk mund të garantoni se çdo kopje do të përditësohet në një kalim. Në atë rast shtoni prefiksin e ri në të dyja ndërfaqet, zhvendosni partnerët një nga një, vëzhgoni trafikun në atë të renë dhe vetëm atëherë hiqni ndërfaqen e vjetër dhe rrugët e saj.

Në të dyja opsionet, ndryshimi është i kryer kur kalojnë katër kontrolle: dorështrëngimi është i freskët, kërkimi i rrugës për një destinacion me prefiksin e ri emërton tunelin, një ngarkesë prej disa qindrash bajtësh kalon në të dy drejtimet, dhe e njëjta gjë vlen pas një rinisjeje të hostit ose të menaxherit. Manuali wg(8) është referenca për atë që do të thotë AllowedIPs në çdo drejtim, dhe ia vlen të rilexohet përpara se të zgjeroni një varg që një simptom të zhduket.

• Dorështrëngim i freskët dhe asnjë e dhënë: shikoni AllowedIPs te marrësi përpara se të prekni çelësat.
• Kërkimi i rrugës tregon ndërfaqen e gabuar: rrugën e zotëron një menaxher ose kontejner, jo skedari juaj.
• Adresa numerike në rregull dhe emri i hostit i prishur: një referencë e vjetër, jo një lak rrugëzimi.
• Ndryshimi është i plotë vetëm kur, pas një rinisjeje, përdoret ende prefiksi i ri.