WireGuard eşi yanlış WAN'dan çıkıyor: sırayla beş kontrol

İki uplink, bir ağ geçidi ve trafiği sürekli yedek hatta görünen bir WireGuard eşi. El sıkışma baştan sona sağlıklı kalır. Bu yüzden belirtiyi yönlendirme hatası yerine WireGuard arızası diye okumak kolaydır.

Aşağıdaki kontrolleri sırayla yapın. Her birinin bir durma koşulu vardır ve ileri atlamak genellikle kendinden emin bir yanlış yanıt üretir.

El sıkışmayı iletilen akıştan ayırın

Şifreli eş alışverişinin sunucunun genel adresine bir uç nokta rotası vardır. İletilen istemci trafiği farklı bir hedefe sahiptir ve işaretlerle ya da politika kurallarıyla seçilebilir. Bunlar bir arayüzü paylaşan iki yönlendirme kararıdır. Birini diğeri hakkında kanıt saymak ilk hatadır.

Kendinizi el sıkışmadan akıl yürütürken yakaladığınız anda durun. O yalnızca uç nokta yolu hakkında kanıttır.

Politika kuralını okuyun, varsayılan tabloyu değil

Varsayılan tablo, hiçbir politika kuralı eşleşmediğinde ne olduğunu gösterir. Kaynak, işaret veya hedefe göre yönlendiren bir ağ geçidinde belirleyici kural başka bir yerde yaşar. Düz tablo tamamen makul görünebilir, oysa gerçek seçim onun üstünde yapılır.

ip rule show
ip route show table main
ip -4 route get 203.0.113.9 from 10.30.8.2

Politika kurallarını ve işaret ettikleri tabloları okuyun. Ardından hangi kuralın test akışınızla eşleştiğini doğrulayın. Artık amaçlanan uplink'i taşımayan bir arayüze başvuran kural bir bulgudur, ayrıntı değil. Sondaki rota araması yanıtı bir tabloyu okuyup tahmin etmekten çok daha hızlı gösterir.

İşareti ve çeviriyi birlikte kontrol edin

Politika yönlendirmesi zincirde daha önce konan bir paket işaretine dayanır. İşaretleme kuralı trafiğinizi kaçırırsa akış ana tabloya düşer ve oradaki varsayılandan çıkar. İletilen paketler genellikle yerel olarak üretilen trafik için yazılmış zincirleri atlar.

nft list chain inet filter prerouting
conntrack -L -s 10.30.8.2 2>/dev/null | head
ip -s link show dev eth1

Çeviri, akışı taşıyan uplink ile uyuşmalıdır. Paket yedek hattan çıkarken birincil adrese çeviren kural, akışın hiç kullanmadığı bir arayüze gönderilen yanıtlar üretir. Çeviri kuralının kendi arayüz koşulunu kontrol edin. Koşulsuz kural ikinci uplink kullanılana kadar çalışır, sonra aralıklı görünen bir biçimde başarısız olur.

Yanıtı hangi arayüzün taşıdığına dikkat edin

Bir istek çalışırken her iki uplinkte yakalama yapın. Hangi arayüzün isteği, hangisinin yanıtı taşıdığını not edin. Asimetrik yolları görmek tahmin etmekten çok daha kolaydır.

Yanıt yanlış uplinkten gelirse sorun WireGuard'dan bağlantı izlemeye veya çeviriye taşınmıştır. Eş yapılandırmasındaki hiçbir değişiklik bunu düzeltmez.

Geri dönüş yoluyla tek bir şeyi değiştirin

Bir ağ geçidinde politika kurallarını düzenlemeden önce konsol veya bant dışı erişimi elinizde tutun. Tek bir değişiklik yapın, aynı yetkili hedefi test edin, sonra yeniden bağlanın ve el sıkışmanın hâlâ amaçlanan uç nokta yolunu kullandığını doğrulayın. İkinci adres ailesine sayısal bir test ekleyin, çünkü yalnızca v4 için olan politika aynı hatayı açık bırakır.

Her akışın hangi uplink'i kullandığını kaydedin. Bu kayıt sonraki raporu bütün bir öğleden sonra yerine iki dakikalık bir kontrole dönüştürür. WireGuard'ın ad alanları ve yönlendirme üzerine notları uç nokta yolunun tünellenmiş trafikten bilerek nasıl ayrılacağını açıklar; bu genellikle varsayılan rota etrafından dolaşan bir çözümü kopyalamaktan daha temizdir.