NetworkManager o wg-quick: sino ang may-ari ng iyong mga ruta ng WireGuard?

Binabago mo ang AllowedIPs sa file ng WireGuard, ini-restart ang tunnel, at ang routing table ay eksaktong kagaya ng dati. Ang karaniwang reaksyon ay burahin ang nakakaabala na ruta at magpatuloy, na gumagana hanggang ibalik ito ng susunod na muling pagkonekta. Ang file na in-edit mo ay hindi kinakailangang ang bagay na gumawa ng estadong nakikita mo. Dalawang tagapamahala ang maaaring magpatakbo ng parehong protocol sa isang makina, at isa lamang sa kanila ang may-ari ng interface sa isang pagkakataon.

Mito: may isang config ng WireGuard sa makina

Binabasa ng wg-quick ang file sa ilalim ng /etc/wireguard/ at binubuo ang interface kapag itinaas mo ito. Nag-iimbak ang NetworkManager ng profile ng koneksyon sa sarili nitong keyfile format at ipinapakita ito sa pag-activate, at ang pag-import ng file ng wg-quick ay kinokopya ang mga halaga sa profile na iyon sa halip na i-link ito. Ang pag-edit sa orihinal pagkatapos ay walang binabago, dahil hindi na ito binabasa ng profile. Kaya ang parehong listahan ng mga peer at key ay maaaring umiral nang dalawang beses, at ang pangalawang kopya ang umiiral.

Isang palatandaan na dapat tandaan: ang mga pagbabagong nakakaligtas sa reboot ngunit hindi sa muling pag-import ay nagmula sa isang imbakan, at ang mga pagbabagong nawawala sa reboot ay nagmula sa isa pa.

Isang praktikal na halimbawa ang nagpapalinaw ng paghahati. Ihambing nmcli connection show sa systemctl status wg-quick@wg0, pagkatapos ay tingnan kung aling interface talaga nakasabit ang mga ruta. Kung patay ang serbisyo at nakataas ang interface, ang profile ang gumagawa ng trabaho, anuman ang sabihin ng file.

Mito: ang mga patakaran sa routing ay bahagi ng WireGuard

Alam ng device ng WireGuard sa kernel ang mga peer at key, at wala itong alam sa routing ayon sa patakaran. Anumang ip rule entry at karagdagang table na nakikita mo ay inilagay ng tool na nagtaas ng interface. Maaaring magdagdag ang wg-quick ng fwmark at nakalaang table at mga patakarang tumuturo doon, samantalang ang NetworkManager ay naglalagay ng mga ruta sa pamamagitan ng sarili nitong mga setting ng ipv4 at iniiwan ang DNS sa backend ng resolver na ginagamit ng system. Parehong tunnel, magkaibang side effect.

Basahin ang ip rule at ip route show table all bago baguhin ang anuman, at itala kung saang table nakatira ang bawat ruta. Ang numerong table na hindi mo na-configure ay malakas na palatandaan tungkol sa tool na gumawa nito.

Mito: ang pagbura ng ruta ay isang pag-aayos

Ang rutang binura habang tumatakbo ay rutang muling ilalagay ng may-ari sa susunod na pag-activate, at maaaring mangyari ang pag-activate nang wala ka: paggising ng laptop, pag-flap ng link, pag-restart ng serbisyo o awtomatikong pagkonekta ng NetworkManager. Kaya bumabalik ang parehong ruta at kaya pakiramdam ng pansamantalang solusyon ay hindi mapagkakatiwalaan sa halip na mali. Kilalanin muna ang tagapamahala, pagkatapos ay baguhin ang input na talagang binabasa ng tagapamahalang iyon.

Ang muling pagkonekta at pag-restart ng kaugnay na serbisyo ang pagsubok na naghihiwalay ng tunay na pag-aayos sa isa na maayos lang ang hitsura.

Pumili ng isang may-ari at alisin ang isa pa

Piliin ang tagapamahalang sinusuportahan ng iyong deployment, pagkatapos ay i-disable ang katunggaling pag-activate sa pamamagitan ng dokumentadong kontrol nito sa halip na umasa na mananatili itong walang ginagawa. Ang maskadong serbisyo ng wg-quick o binurang profile ng NetworkManager ay hayag; ang iwanan ang dalawa na naka-enable at pagpatakbuhin sila nang karera ay hindi. Panatilihin ang gumaganang access bago i-disable ang anuman, dahil ang interface na nagdadala ng iyong remote session ay maaaring ang mismong tatanggalin mo.

Pagkatapos ng pagbabago, i-verify ang kasamang at ibinukod na trapiko, pagkatapos ang DNS, pagkatapos ay mag-reboot nang isang beses. Kung nakakaligtas ang estado sa reboot sa isang tagapamahala, may may-ari ka sa halip na pagkakataon.

Ang pangkalahatang tuntunin ay sulit tandaan kahit sa labas ng WireGuard: kapag paulit-ulit na bumabalik ang isang setting, itigil ang pagbura ng resulta at hanapin ang prosesong patuloy na gumagawa nito.