WireGuard: సబ్నెట్ మార్పు తర్వాత పీర్కు మార్గం లేదు — రెండు దారులు
సబ్నెట్ మార్పు WireGuard ను రెండు చోట్ల విరుస్తుంది: AllowedIPs మరియు తిరిగి వచ్చే మార్గం. స్థానంలోనే పునఃసంఖ్యీకరణను ఇంటర్ఫేస్ పునర్నిర్మాణంతో పోల్చండి.
wg show లో హ్యాండ్షేక్ తాజాగా ఉంది, ముగింపు బిందువు సరైనది, కీలు ఎప్పుడూ మారలేదు — అయినా ping ఇంకా పీర్కు మార్గం లేదని చెబుతోంది. ఒక గంట క్రితం మీరు టన్నెల్ సబ్నెట్ను మార్చారు. ఆ లక్షణం కీ సమస్య కాదు, ప్రిఫిక్స్ అసమతుల్యత సంకేతం: WireGuard హ్యాండ్షేక్ను పూర్తి చేసి తర్వాత డేటాను పారేసింది, ఎందుకంటే మూల చిరునామా ఇకపై స్వీకరించే పీర్ అంగీకరించే దానితో సరిపోలడం లేదు. సబ్నెట్ మార్పును అమలు చేయడానికి రెండు సమంజసమైన మార్గాలున్నాయి, అవి వేర్వేరు చోట్ల విఫలమవుతాయి.
మార్పును అమలు చేయడానికి రెండు మార్గాలు, ప్రతి దాని ఖర్చు
ఎంపిక A అంటే స్థానంలోనే పునఃసంఖ్యీకరణ: ఇంటర్ఫేస్ చిరునామా, పీర్ పరిధులు, మార్గాలు మరియు కాన్ఫిగ్ యొక్క ప్రతి కాపీని సవరించి, ఆపై మళ్లీ లోడ్ చేయండి. ఎంపిక B అంటే కొత్త ప్రిఫిక్స్లో పాత దాని పక్కన రెండవ ఇంటర్ఫేస్ నిర్మించి, పీర్లను తరలించి, ట్రాఫిక్ నిజంగా కదిలిన తర్వాత పాత ఇంటర్ఫేస్ను తీసివేయడం.
| A: renumber in place | B: parallel interface | |
|---|---|---|
| Downtime | The reload window, per host | None if peers are added to both |
| Rollback | Re-apply the previous files | Point peers back at the old interface |
| Risk | Half-applied change: new address, old ranges | Two live interfaces with overlapping intent |
| Effort | Small, if the deployment has one owner | Higher, and needs a cleanup step |
| Fits | Two or three peers you control | Many peers, remote sites, or no maintenance window |
సగం అమలైన స్థితి ఎంపిక A ను ప్రమాదకరం చేస్తుంది, ఎందుకంటే అది విరిగినట్లు కనిపించదు. ఇంటర్ఫేస్ పైకి వస్తుంది, హ్యాండ్షేక్ విజయవంతమవుతుంది, డేటా మార్గం మాత్రమే విఫలమవుతుంది. ఎంపిక B ఎక్కువ పని కోరుతుంది కానీ మీరు ప్రతి సూచనను వెతుకుతున్నప్పుడు పనిచేసే మార్గాన్ని సజీవంగా ఉంచుతుంది.
మీ వైపు ఏది కలిసి కదలాలి
స్థానిక హోస్ట్లో నాలుగు విషయాలు ఒకే సబ్నెట్ను వివరిస్తాయి, ఒకదాన్ని మార్చడం అన్నింటినీ మార్చడం: ఇంటర్ఫేస్ చిరునామా, ప్రతి పీర్ యొక్క AllowedIPs, ఆ గమ్యాల కోసం సిస్టమ్ ఉపయోగించే మార్గం, మరియు మేనేజర్ మీ తరపున ఇన్స్టాల్ చేసేది. wg-quick తో చివరి రెండు ఇంటర్ఫేస్ పైకి వచ్చిన ప్రతిసారీ కాన్ఫిగ్ నుండి ఉత్పత్తి అవుతాయి, కాబట్టి పాత కాపీ నిశ్శబ్దంగా పాత ప్రిఫిక్స్ను మళ్లీ ఇన్స్టాల్ చేస్తుంది.
ఒకదాన్ని నమ్మడం బదులు కాన్ఫిగర్ చేసిన దాన్ని సజీవంగా ఉన్న దానితో పోల్చండి:
wg show
wg showconf wg0
ip addr show wg0
ip route get 10.90.0.5మార్గ అన్వేషణ మనుషులు దాటవేసే దశ. ఒక గమ్యానికి కెర్నల్ నిజంగా ఏమి చేస్తుందో అది సమాధానమిస్తుంది, మేనేజర్ లేదా కంటైనర్ రన్టైమ్ వదిలిన మరింత నిర్దిష్ట మార్గంతో సహా. అది టన్నెల్ కంటే వేరే ఇంటర్ఫేస్ను నివేదిస్తే, కాన్ఫిగ్ సమస్య కాదు.
నడుస్తున్న ఇంటర్ఫేస్ కోసం, టన్నెల్ను విచ్ఛిన్నం చేయకుండా సవరించిన ఫైల్ను వర్తించండి:
wg syncconf wg0 <(wg-quick strip wg0)అది పీర్లను మరియు పరిధులను స్థానంలోనే నవీకరిస్తుంది. ఇంటర్ఫేస్ చిరునామా లేదా మార్గాలను నవీకరించదు, ఎందుకంటే అవి WireGuard సెట్టింగ్లు కావు — కాబట్టి పునఃసంఖ్యీకరణకు ఇంటర్ఫేస్ను మళ్లీ సృష్టించడం లేదా ip తో చిరునామాను మార్చడం, ఆపై మార్గనిర్దేశనాన్ని మళ్లీ తనిఖీ చేయడం అవసరం.
దూరపు చివర ఏది కలిసి కదలాలి
సాధారణంగా సబ్నెట్ మార్పు ఇక్కడే చనిపోతుంది. AllowedIPs కేవలం మార్గనిర్దేశన సూచన కాదు; పీర్ ప్రదర్శించగల మూల చిరునామాల జాబితా కూడా. మీరు క్లయింట్లను పునఃసంఖ్యీకరించి సర్వర్ యొక్క AllowedIPs ను పాత ప్రిఫిక్స్లో ఉంచితే, సర్వర్ హ్యాండ్షేక్ను అంగీకరిస్తుంది, ఎన్క్రిప్ట్ చేసిన ప్యాకెట్లను స్వీకరిస్తుంది మరియు వాటిని పారేస్తుంది, ఎందుకంటే లోపలి మూలం ఆ పీర్తో అనుబంధించిన ఏ పరిధితోనూ సరిపోలడం లేదు. ఏ లోపం లాగ్ అవ్వదు, క్లయింట్ సమయ ముగింపును చూస్తుంది.
కాబట్టి స్వీకరించే వైపును ఉద్దేశపూర్వకంగా నవీకరించండి: సర్వర్లోని పీర్ నమోదు కొత్త క్లయింట్ ప్రిఫిక్స్ను జాబితా చేయాలి, సర్వర్ యొక్క స్వంత తిరిగి వచ్చే మార్గం ఆ ప్రిఫిక్స్ కోసం టన్నెల్కు చూపాలి, మరియు సర్వర్ వెనుక ఉన్న ఏదైనా దిగువ నెట్వర్క్ కొత్త మార్గాన్ని నేర్చుకోవాలి. పాత పరిధిని పేర్కొన్న ఫైర్వాల్ విధానానికి కూడా అదే చికిత్స అవసరం, మూల ఆధారిత ఎంపిక చేసే ఏదైనా సరే.
రెండు వైఫల్యాలను వేరు చేసే నిర్ధారణ చవకైనది. కొత్త హ్యాండ్షేక్ కానీ డేటా లేదు అంటే టన్నెల్ పైన ఉంది మరియు లోపలి చిరునామీకరణ ఏకీభవించడం లేదు. హ్యాండ్షేక్ అసలు లేదు అంటే మీరు చేరుకోగలిగే సామర్థ్యం లేదా కీలను చూస్తున్నారు. ప్రిఫిక్స్ సమస్య కోసం కీలను తిప్పవద్దు; అది పనిచేసిన ఏకైక విషయాన్ని రీసెట్ చేస్తుంది.
మీ సవరణ కంటే ఎక్కువ కాలం జీవించే పాత కాపీలు
ఫైల్ను సవరించడం నడుస్తున్న సిస్టమ్ను మార్చడం వంటిది కాదు, కాపీలు మనుషులు ఊహించిన దానికంటే ఎక్కువ: ఇంటర్ఫేస్ యజమాని అయిన యూనిట్ లేదా మేనేజర్, మరో డైరెక్టరీలో అదే పేరుతో రెండవ ప్రొఫైల్, ఇమేజ్లో కాన్ఫిగ్ కాల్చిన కంటైనర్, తన స్వంత సవరించిన సంస్కరణను ఉంచుకునే రౌటర్ UI, మరియు ప్రారంభంలో సేవ్ చేసిన టన్నెల్ను మళ్లీ దిగుమతి చేసే క్లయింట్ యాప్. మీ మార్పు పూర్తయినట్లు కనిపించిన తర్వాత కూడా వాటిలో ప్రతి ఒక్కటి పాత ప్రిఫిక్స్ను పునరుద్ధరించగలదు.
పేర్లు కూడా ప్రయాణిస్తాయి. సంఖ్యా మార్గం పనిచేసి హోస్ట్నామ్ విఫలమైతే, అంతర్గత DNS రికార్డు లేదా సేవా కాన్ఫిగ్ ఇంకా పాత టన్నెల్ చిరునామాను చూపుతుంది. ప్రతి పీర్ పరిధిని విస్తరించడం బదులు సూచనను సరిచేయండి, ఎందుకంటే అది నిజమైన సమస్యను కప్పి అదే సమయంలో మూల ACL ను పెద్దది చేస్తుంది.
పని చేస్తున్నప్పుడు ఒక పునరుద్ధరణ మార్గాన్ని తెరిచి ఉంచండి: హోస్ట్లోకి ప్రవేశించడానికి రెండవ మార్గం, సీరియల్ కన్సోల్, లేదా కాన్ఫిగ్ ఫైళ్ల షెడ్యూల్ చేసిన రోల్బ్యాక్. మీరు మారుస్తున్న యంత్రం నుండి మిమ్మల్ని లాక్ అవుట్ చేసే టన్నెల్ మార్పే ఈ పనిని సాయంత్రంగా మార్చే అత్యంత సాధారణ మార్గం.
రెండింటి నుండి ఎంపిక, మరియు కట్ ధృవీకరణ
ప్రతి పీర్ మీదే ఉంటే, సంఖ్య తక్కువగా ఉంటే, చిన్న అంతరాయం ఆమోదయోగ్యమైతే A ఎంచుకోండి. పీర్లు మీరు నియంత్రించని దూరపు చేతులైతే, సైట్-నుండి-సైట్ లింక్ పైన ఉండాల్సి వస్తే, లేదా ప్రతి కాపీ ఒకేసారి నవీకరించబడుతుందని హామీ ఇవ్వలేకపోతే B ఎంచుకోండి. ఆ సందర్భంలో కొత్త ప్రిఫిక్స్ను రెండు ఇంటర్ఫేస్లకు జోడించండి, పీర్లను ఒక్కొక్కటిగా తరలించండి, కొత్త దానిపై ట్రాఫిక్ను గమనించండి, ఆ తర్వాతే పాత ఇంటర్ఫేస్ మరియు దాని మార్గాలను తీసివేయండి.
ఏ ఎంపికలో అయినా, నాలుగు తనిఖీలు దాటితే మార్పు పూర్తవుతుంది: హ్యాండ్షేక్ తాజాగా ఉంది, కొత్త ప్రిఫిక్స్ గమ్యం కోసం మార్గ అన్వేషణ టన్నెల్ను పేర్కొంటుంది, కొన్ని వందల బైట్ల పేలోడ్ రెండు దిశలలోనూ వెళ్తుంది, హోస్ట్ లేదా మేనేజర్ను పునఃప్రారంభించిన తర్వాత కూడా అదే ఉంటుంది. దీని కోసం wg(8) మాన్యువల్ ప్రతి దిశలో AllowedIPs అర్థం ఏమిటో తెలిపే సూచన, లక్షణాన్ని మాయం చేయడానికి పరిధిని విస్తరించే ముందు దాన్ని మళ్లీ చదవడం విలువైనది.
- హ్యాండ్షేక్ తాజా మరియు డేటా లేదు: కీలను తాకే ముందు స్వీకర్త వద్ద AllowedIPs చూడండి.
- మార్గ అన్వేషణ తప్పు ఇంటర్ఫేస్ను చూపుతుంది: మార్గం యజమాని మేనేజర్ లేదా కంటైనర్, మీ ఫైల్ కాదు.
- సంఖ్యా చిరునామా బాగుంది మరియు హోస్ట్నామ్ విరిగింది: పాత సూచన, మార్గనిర్దేశన లూప్ కాదు.
- పునఃప్రారంభించిన తర్వాత కూడా కొత్త ప్రిఫిక్స్ ఉపయోగించబడితేనే మార్పు పూర్తవుతుంది.