wg-quick квари DNS при повезивању: прочитајте грешку подешавања

Тунел се подиже, руковање се завршава и разрешавање имена стаје. Ништа у конфигурацији партнера није се променило, јер DNS линија никада није била њен део. Она припада помоћнику за подешавање, што значи да грешка живи у алатима резолвера на хосту, а не у кључевима WireGuard-а.

Прочитајте прву поруку коју је помоћник одштампао, а не последњу, и разлика између алата који недостаје и сервера који није доступан постаје очигледна.

DNS линија је функција помоћника

Основна поља конфигурације описују партнере, кључеве и дозвољене адресе. Разрешавање имена се додаје одозго скриптом која подиже интерфејс, и свака имплементација то ради другачије. Десктоп клијент може да управља DNS-ом преко сопствене услуге, скрипта дистрибуције може да позове један од неколико алата резолвера, а контејнер можда не ради ни једно. Конфигурациона датотека не може да вам каже која је од тих путања у игри.

Зато конфигурациона датотека може бити важећа за протокол и ипак не успети током подешавања: грешка припада куки коју протокол никада не види.

Уписивање проширеног поља у основну конфигурацију и очекивање да ће га алат протокола прихватити ствара исту забуну из супротног смера. Два парсера читају различите датотеке.

Знање који од њих ради је први дијагностички корак, и то се обично види у откуцаној команди, а не у конфигурационој датотеци.

Прочитајте прву грешку коју помоћник штампа

Подигните интерфејс у првом плану и читајте излаз редом. Алат резолвера који недостаје, неуспела кука и недоступан сервер заустављају исту команду на различитим местима, и свака има другачију поправку.

wg-quick up wg0
resolvectl status wg0
ip route get 10.66.0.1

Прва команда извештава о напретку подешавања, друга показује које сервере интерфејс сада захтева, а трећа показује да ли је адреса резолвера заиста доступна кроз тунел. Резолвер који је конфигурисан али није рутиран производи истек времена уместо конфигурационих грешака, зато две провере иду заједно. Читање само излаза стања даје самоуверен и погрешан закључак.

Ако је подешавање завршено а разрешавање имена још не успева, упоредите резолвер који је помоћник инсталирао са оним који је мрежа користила раније. Приватном резолверу је потребна путања кроз тунел, а конфигурација која га наводи без покривања његовог префикса оставља сваки упит да чека.

Који резолвер хост заиста има

Савремени Linux хостови често покрећу локални stub резолвер, па адресу коју помоћник инсталира троши тај stub, а не апликације директно. Ручно уређивање генерисане датотеке може изгледати да ради до следећег поновног повезивања, када је помоћник поново упише.

Користите подржану интеграцију за дистрибуцију и дозволите једној компоненти да поседује стање резолвера. Два власника стварају исту трку као два власника адресе интерфејса, а симптом је хост који неколико минута после сваке промене исправно разрешава.

Унутрашња имена заслужују сопствену проверу. Јавни резолвер може да врати опште прегледање док свако корпоративно име не успева, што је супротно ономе за шта је тунел био намењен. Питајте предвиђени сервер за унутрашње име пре него што закључите да је DNS поправљен.

Чишћење је исто толико важно као подешавање

Спустите интерфејс и поново прегледајте стање резолвера. Помоћник који враћа претходну конфигурацију оставља хост употребљивим; онај који оставља сопствене сервере ствара следећу грешку, често сатима касније када тунела одавно нема.

Застарело стање је лако приметити када почнете да га тражите. Листа резолвера може да показује на адресу на интерфејсу који више не постоји, а домен претраге може да надживи мрежу коју сте јутрос напустили. Било које од тога чини следећу везу непредвидивом, и ниједно се не појављује у сопственом излазу стања тунела. Провера траје десет секунди и штеди следећој особи сат времена.

Држите дијагнозу одвојено од поправке. Ако не успева свака дестинација, а не само претрага имена, путање и прослеђивање су осумњичени, а DNS линија је одвлачење пажње. приручник за wg-quick документује која поља обрађује и која припадају протоколу, и та граница је цео одговор на већину ових извештаја.