NetworkManager или wg-quick: ко поседује ваше WireGuard руте?

Промените AllowedIPs у WireGuard датотеци, поново покренете тунел, а табела усмеравања изгледа тачно као пре. Уобичајена реакција је да избришете проблематичну руту и наставите, што функционише док је следеће повезивање не врати. Датотека коју сте уредили није нужно објекат који је произвео стање које гледате. Два менаџера могу покретати исти протокол на једном рачунару, а само један од њих поседује интерфејс у сваком тренутку.

Мит: на рачунару постоји само једна WireGuard конфигурација

wg-quick чита датотеку у /etc/wireguard/ и гради интерфејс када га подигнете. NetworkManager чува профил везе у свом keyfile формату и приказује га при активацији, а увоз wg-quick датотеке копира вредности у тај профил уместо да се на њега повезује. Уређивање оригинала после тога не мења ништа, јер га профил више не чита. Зато исти списак партнера и кључева може постојати двапут, при чему важи друга копија.

Знак који вреди запамтити: измене које преживе поновно покретање, али не и поновни увоз, долазе из једног складишта, а измене које нестану при поновном покретању долазе из другог.

Један практичан пример чини поделу очигледном. Упоредите nmcli connection show са systemctl status wg-quick@wg0, затим проверите на који интерфејс руте заиста висе. Ако је услуга мртва, а интерфејс подигнут, посао обавља профил, шта год датотека говорила.

Мит: правила усмеравања су део WireGuard-а

WireGuard уређај у језгру познаје партнере и кључеве, а о политичком усмеравању не зна ништа. Какве год ip rule уносе и додатне табеле да видите, инсталирао их је алат који је подигао интерфејс. wg-quick може да дода fwmark и наменску табелу плус правила која показују на њу, док NetworkManager инсталира руте кроз сопствена ipv4 подешавања и оставља DNS оном resolver бекенду који систем користи. Исти тунел, различити нежељени ефекти.

Прочитајте ip rule и ip route show table all пре него што било шта промените и забележите у којој табели живи свака рута. Број табеле који нисте конфигурисали је јак знак о алату који ју је створио.

Мит: брисање руте је поправка

Рута избрисана током рада је рута коју ће власник поново инсталирати при следећој активацији, а активација може да се догоди без вас: буђење преносног рачунара, трепет везе, поновно покретање услуге или аутоматско повезивање NetworkManager-а. Зато се иста рута враћа и зато привремено решење делује непоуздано, а не погрешно. Прво идентификујте менаџера, затим промените улаз који тај менаџер заиста чита.

Поновно повезивање и поновно покретање одговарајуће услуге је тест који раздваја праву поправку од оне која само изгледа уредно.

Изаберите једног власника и уклоните другог

Изаберите менаџера који ваша инсталација подржава, затим онеспособите конкурентску активацију преко његове документоване контроле, уместо да се надате да ће остати неактивна. Маскирана wg-quick услуга или избрисан NetworkManager профил је експлицитан; оставити обоје омогућено и пустити их да се тркају није. Сачувајте радни приступ пре него што било шта онемогућите, јер интерфејс који носи вашу удаљену сесију може бити управо онај који ћете уклонити.

Након промене проверите укључени и искључени саобраћај, затим DNS, затим једном поново покрените. Ако стање преживи поновно покретање са једним менаџером, имате власника, а не случајност.

Опште правило вреди запамтити и изван WireGuard-а: када неко подешавање стално долази назад, престаните да бришете резултат и пронађите процес који га непрестано ствара.