Руковање ради, адреса је нестала: три стања WireGuard-а

WireGuard може истовремено имати свеже руковање и немати адресу, и то стање је усклађено, а не противречно. Руковање је догађај партнера, адреса припада интерфејсу, а рута одлучује којим горњим каналом пакет излази. Три слоја, три власника, и сваки може да откаже док друга два изгледају здрава.

Читање њих као једног статуса претвара двоминутну дијагнозу у цело поподне проведено у рестартовању услуга.

Руковање је догађај партнера, а не догађај адресирања

Руковање WireGuard-а доказује да је конфигурисани партнер одговорио важећим кључем и да су кључеви сесије актуелни. Оно не говори ништа о локалној адреси на интерфејсу, нити о томе води ли икаква рута тамо. Адресу додељује помоћник или мрежни менаџер, док конфигурација протокола само именује партнере и кључеве. Мешање ових двоје је разлог зашто се здраво руковање чита као тунел који ради.

Зато wg show може да пријави руковање старо неколико секунди на интерфејсу који не може да прими ни један пакет из апликације.

Менаџер који поново ствара интерфејс може да испусти адресу не дирајући конфигурацију партнера, и следеће руковање одмах успева јер се кључеви никада нису променили. Линија у дневнику о успешном руковању је тачна и неважна за квар.

Адреса интерфејса има свог сопственог власника

Адреса на тунелском уређају може доћи из Address линије помоћника, од DHCP клијента који ради на интерфејсу, или од демона за управљање који је ствара при повезивању. Шта год да је, та компонента поседује адресу и вратиће је или не према сопственој логици. Читање адресе без именовања њеног власника оставља вас без објашњења зашто је нестала.

Два власника на једном интерфејсу је класичан квар. Покретање помоћника и десктоп мрежног менаџера над истим уређајем ствара трку у којој један уклања оно што је други управо конфигурисао, а крајња тачка све време одговара.

Изаберите једног власника и пустите други алат да посматра уместо да управља. Ту одлуку вреди записати, јер се симптом појављује недељама касније и изгледа као случајан губитак адресе.

Рута бира горњи канал, а не интерфејс

Унутрашња рута која показује на wg0 одлучује да саобраћај улази у тунел. Одвојена одлука шаље шифроване спољашње пакете ка партнеру, и на хосту са неколико горњих канала та одлука долази из табеле прослеђивања и правила политике. Wi-Fi роаминг може да промени спољашњи пут не дирајући унутрашњу адресу.

Дакле, тунел који ради и недоступан партнер су компатибилна стања, као и исправан партнер са поквареном унутрашњом рутом. Три запажања морају се узети заједно, у истом тренутку, иначе је поређење бесмислено.

Упоредите три стања у једном пролазу

Три команде само за читање одговарају на три питања редоследом који најбрже изолује квар. Покрените их без промене било чега између њих.

ip address show dev wg0
ip route get 10.80.0.1
wg show wg0 latest-handshakes transfer

Прва показује да ли интерфејс уопште има адресу, а друга показује који би уређај одредиште тренутно користило. Трећа пријављује време последњег руковања и бројаче бајтова, и једина је од три која описује партнера, а не локални хост.

Читајте бројаче као и временску ознаку. Руковање које се стално обнавља док пренос стоји значи да партнер одговара, али ништа корисно не пролази, што упућује на рутирање или ACL, а не на кључеве. Временска ознака која престаје да напредује уз присутну адресу упућује навише. Оба читања долазе из исте излазне линије, и ниједно се не види ако само проверавате да ли руковање постоји.

Исправите конкретно стање које је погрешно, а затим поново тестирајте апликацију, а не тунел. Свеже руковање је доказ о партнеру, а доказ о партнеру није доказ да ће следећи захтев из вашег прегледача наћи адресу, руту и горњи канал који ради. приручник за wg-quick јасно каже шта од тога поставља помоћник, а шта припада протоколу.