WireGuard AllowedIPs: рута коју NetworkManager никада није додао

Бројач руковања се ажурира, интерфејс задржава своју адресу, а ping ка другој страни не стиже никуда. Та комбинација збуњује људе, јер руковање које ради изгледа као доказ да је тунел спреман. Није: тунел може бити потпуно договорен и ипак не имати ниједну руту која усмерава саобраћај у њега, а то су два одвојена посла која обављају два одвојена дела стања. Поправка у потпуности зависи од тога која од две недостаје, па је први корак открити то.

wg-quick обавља обоје без питања. Уграђена подршка за WireGuard у NetworkManager-у такође подразумевано инсталира peer руте, што сужава осумњичене на онемогућену опцију, другу табелу рутирања или конфигурацију увезену кроз нешто друго.

Потврдите тунел пре него што кренете у потеру за рутом

wg show исписује интерфејс, peer, крајњу тачку и старост последњег руковања, а ip addr show потврђује да је адреса присутна. Недавно руковање значи да кључеви, крајња тачка и UDP пут раде. Све што је покварено налази се низводно од њих: рутирање, филтрирање или разрешавање имена.

Затим питајте језгро шта би урадило са стварним одредиштем уместо хипотетичким: ip route get 10.42.7.9. Одговор именује излазни интерфејс и изворну адресу коју би пакет носио. Када именује физички адаптер, пакет никада не улази у тунел, колико год руковање изгледало здраво.

AllowedIPs је филтер и листа рута

Префикси у AllowedIPs обављају два посла. Бирају који peer носи излазно одредиште и проверавају изворну адресу долазних пакета, што је граница рутирања по криптокључу. У wg-quick они такође управљају аутоматском инсталацијом рута, и управо то додатно понашање објашњава зашто иста конфигурација ради из терминала, а не из десктоп клијента.

У случају иза овог чланка профил је увезен преко додатка треће стране, а не преко уграђене подршке, и интерфејс се подигао без префиксне руте. Навођење табеле то показује одмах: ip route show садржи само повезану руту за адресу интерфејса и ништа за удаљени опсег.

Питајте да ли су peer руте уопште омогућене

Прочитајте подешавање пре него што било шта промените: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. Када peer-routes показује no, подржана поправка је nmcli connection modify work-wg wireguard.peer-routes yes, након чега следи поновно повезивање. Додавање статичке руте уместо тога ради до следеће активације и затим тихо нестане. То нестајање је знак: руту која се сваког јутра враћа као загонетка не инсталира профил.

Ако је опција већ омогућена, проверите помоћу ip route show table all | grep 10 да ли префикс живи у другој табели. Рута у табели која није главна не недостаје, она је само невидљива за претрагу која гледа искључиво главну табелу. Поправите политичко рутирање уместо да на врх натоварите дупли запис.

Додајте префикс вези, а не систему који ради

У уређивачу веза страница WireGuard држи peer и његове AllowedIPs, а страница IPv4 држи додатне руте. Рута додата тамо преживљава поновна повезивања јер припада профилу. У командној линији еквивалент је да додате руту вези у облику са празним гејтвејом, а затим спустите и подигнете везу да би промена била примењена.

Изаберите најужу префикс који покрива потребне хостове. Копирање примера /8 од провајдера може прогутати локалне опсеге који се случајно налазе унутра, а настали кварови изгледају као покварен тунел, а не као преширока рута.

Раздељено тунелирање одлучује листа префикса

Не постоји прекидач за раздељени тунел; листа префикса је одлука. Peer са једним опсегом за канцеларијски LAN и једним за лабораторијску мрежу шаље тачно та одредишта кроз тунел и оставља све остало на миру. Један хост захтева /32, а опсези који се преклапају на две локације захтевају префиксе хостова док неко не пренумерише подмрежу.

Избор да се ништа не шаље кроз тунел води исту одлуку до њене границе: минимална листа држи везу подигнутом, док обичан саобраћај следи свој уобичајени пут. Запишите намеру, јер ће иначе следећи читалац кратак списак сматрати пропустом и услужно га проширити.

Један власник табеле рута

wg-quick и NetworkManager обоје сматрају да поседују руте интерфејса. Увезите конфигурацију написану за wg-quick и затим покрените и услугу wg-quick, и добићете дуплиране или противречне записе чије понашање зависи од тога која је радила последња. Изаберите једног власника и уклоните другог: ако NetworkManager управља везом, онемогућите јединицу wg-quick за тај интерфејс и никада не додајте други профил за исти уређај.

Када подела мора да прати физички адаптер уместо одредишта, прешли сте на политичко рутирање, а политичко рутирање такође захтева једног аутора. Проверите понављањем ip route get, а затим достизањем хоста унутар удаљеног префикса нечим што исписује изабрану изворну адресу. Проверите IPv6 и DNS одвојено ако профил носи било које од тога.