Lumalabas ang peer ng WireGuard sa maling WAN: limang pagsusuri sa pagkakasunod-sunod

Dalawang uplink, isang gateway, at isang peer ng WireGuard na paulit-ulit na lumalabas ang trapik sa backup na linya. Nananatiling maayos ang handshake sa buong panahon. Kaya madaling mabasa nang mali ang sintomas bilang sira ng WireGuard sa halip na sira ng routing.

Gawin ang mga pagsusuri sa ibaba sa pagkakasunod-sunod. Bawat isa ay may kondisyon ng paghinto, at ang paglaktaw pasulong ay karaniwang nagbibigay ng kumpiyansang maling sagot.

Ihiwalay ang handshake sa ipinasa na daloy

Ang naka-encrypt na palitan ng peer ay may rutang patungo sa endpoint sa pampublikong address ng server. Ang ipinasa na trapik ng kliyente ay may ibang patutunguhan at maaaring piliin ng mga marka o tuntunin ng patakaran. Dalawang desisyon sa routing ang nagbabahagi ng isang interface. Ang ituring ang isa bilang ebidensya tungkol sa isa ay ang unang pagkakamali.

Huminto sa sandaling mahuli mo ang iyong sarili na nangangatwiran mula sa handshake. Ebidensya lamang ito tungkol sa landas patungo sa endpoint.

Basahin ang tuntunin ng patakaran, hindi ang default na talahanayan

Ipinapakita ng default na talahanayan kung ano ang nangyayari kapag walang tugmang tuntunin ng patakaran. Sa gateway na nagru-ruta ayon sa pinagmulan, marka o patutunguhan, nakatira sa ibang lugar ang mapagpasyang tuntunin. Maaaring mukhang ganap na makatuwiran ang payak na talahanayan habang ang tunay na pagpili ay ginagawa sa itaas nito.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Basahin ang mga tuntunin ng patakaran at ang mga talahanayang itinuturo nila. Pagkatapos, tiyakin kung aling tuntunin ang tumutugma sa iyong daloy ng pagsubok. Ang tuntuning tumutukoy sa isang interface na hindi na nagdadala ng nilalayong uplink ay isang natuklasan, hindi isang detalye. Ang paghahanap ng ruta sa dulo ay nagpapakita ng sagot nang mas mabilis kaysa sa pagbasa ng talahanayan at paghula.

Suriin ang marka at ang salin nang sabay

Ang routing ayon sa patakaran ay umaasa sa marka ng pakete na inilagay nang mas maaga sa chain. Kung nalampasan ng tuntunin ng pagmamarka ang iyong trapik, babagsak ang daloy sa pangunahing talahanayan at lalabas sa anumang default doon. Ang ipinasa na mga pakete ay madalas lumalampas sa mga chain na isinulat para sa trapik na nilikha sa lokal.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

Dapat sumang-ayon ang salin sa uplink na nagdadala ng daloy. Ang tuntuning nagsasalin patungo sa pangunahing address habang lumalabas ang pakete sa backup na linya ay gumagawa ng mga tugon na patungo sa interface na hindi kailanman ginamit ng daloy. Suriin ang sariling kondisyon ng interface ng tuntunin ng salin. Gumagana ang tuntuning walang kondisyon hanggang sa magamit ang ikalawang uplink, pagkatapos ay nabibigo sa paraang mukhang pabago-bago.

Pansinin kung aling interface ang nagdadala ng tugon

Kunin sa parehong uplink habang tumatakbo ang isang kahilingan. Itala kung aling interface ang nagdadala ng kahilingan at kung alin ang tugon. Ang mga landas na hindi simetriko ay mas madaling makita kaysa mahulaan.

Kung ang tugon ay dumarating sa maling uplink, lumipat ang problema mula sa WireGuard patungo sa pagsubaybay ng koneksyon o sa salin. Walang pagbabago sa pagsasaayos ng peer ang makakaayos nito.

Baguhin ang isang bagay na may daan pabalik

Panatilihin ang access sa console o labas ng banda bago i-edit ang mga tuntunin ng patakaran sa gateway. Gumawa ng isang pagbabago, subukan ang parehong awtorisadong patutunguhan, pagkatapos ay kumonekta muli at tiyakin na ginagamit pa rin ng handshake ang nilalayong landas patungo sa endpoint. Magdagdag ng numerikong pagsubok sa ikalawang pamilya ng address, dahil ang patakarang para sa v4 lamang ay nag-iiwan ng parehong pagkakamali na magagamit.

Itala kung aling uplink ang ginamit ng bawat daloy. Ginagawa ng rekord na iyon ang susunod na ulat na dalawang-minutong pagsusuri sa halip na buong hapon. ang mga tala ng WireGuard tungkol sa mga namespace at routing ay naglalarawan kung paano sadyang ihiwalay ang landas patungo sa endpoint mula sa trapik na naka-tunnel, na karaniwang mas malinis kaysa kopyahin ang isang pamamaraang lumilihis sa default na ruta.