Како покренути WireGuard тунел као systemd услугу

Имате WireGuard профил на /etc/wireguard/wg0.conf и желите да буде подигнут без ручног уписивања wg-quick up после сваког рестарта. systemd шаблон из пакета ради тачно то: [email protected] покреће wg-quick за профил назван wg0. Он такође инсталира адресе, руте, DNS и све куке које профил декларише, што је више од пуког учитавања кључа у језгро. Проверите да шаблон постоји на вашем систему пре него што претпоставите да постоји.

Остатак овог водича прати редослед којим бисте заиста радили.

Пронађите јединицу и профил који она чита

Излистајте датотеке јединице са systemctl list-unit-files 'wg-quick*'. На дистрибуцијама које га пакују видећете [email protected], при чему се име инстанце узима из профила. Инстанца се разрешава у /etc/wireguard/<name>.conf, па wg-quick@wg0 чита само wg0.conf и ништа друго. Ако је листа празна, пакет алата није инсталиран и никаква количина омогућавања неће помоћи.

Држите профил на режиму 600 и у власништву root-а. Садржи приватни кључ, а јединица ће радо радити са лошијим дозволама ако јој дозволите.

Подигните га и прочитајте журнал

Покрените инстанцу са systemctl start wg-quick@wg0, затим проверите systemctl status wg-quick@wg0 и journalctl -u wg-quick@wg0 -b. Јединица која се покрене и одмах изађе обично има грешку у профилу, а журнал именује линију. Потврдите са wg show да интерфејс постоји и да је последње руковање свеже. Приручник за wg-quick наводи шта скрипта ради изван самог интерфејса.

Конфигурисани интерфејс без руковања је проблем путање или кључа, а не услуге.

Задржите једног менаџера одговорним

Ако NetworkManager или други клијент већ поседује тунел, покретање systemd јединице ствара другог власника за исти интерфејс, руте и DNS. Симптоми су збуњујући: тунел се подигне, затим руте нестану, или се DNS врати назад после неколико секунди. Изаберите једног менаџера и онемогућите други за тај профил. Журнал обично приказује преузимање као промене рута или резолвера одмах након што јединица пријави успех.

Два менаџера не деле власништво. Они преписују један другог.

Тестирајте заустављање, рестарт и подизање

Извршите systemctl stop wg-quick@wg0 и потврдите да је интерфејс нестао и да су руте уклоњене. Затим га поново покрените и проверите да ли се руте враћају, јер се грешке при демонтажи показују као преостале руте, а не као неуспешни стартови. На крају га омогућите при подизању са systemctl enable --now wg-quick@wg0 и рестартујте једном.

При подизању име крајње тачке мора се разрешити пре него што јединица почне да ради. Ако DNS још није подигнут, јединица не успева и остаје неуспешна док је не покренете ручно.

Запишите власника

Запишите који профил јединица чита, који менаџер поседује интерфејс и одакле је датотека дошла. Када неко касније увезе исти тунел у десктоп клијент, та белешка је разлика између миграције и два распоређивања која се боре за једну адресу. Запишите и име интерфејса, јер су два профила са сличним именима уобичајен извор забуне.

Тунел са два власника ради до првог рестарта, а затим постаје мистерија. Зато белешка припада репозиторијуму, а не чет нити.