Ansible ishga tushdi deydi, lekin WireGuard hali ham eski konfiguratsiyada ishlayapti

Playbook ishga tushishi yashil bilan tugaydi, WireGuard uniti faol, handshake ishlaydi, lekin yangi peer hech qayerga yetib bormaydi. Server kechagi konfiguratsiya bilan ishlayotganda playbook muvaffaqiyat haqida xabar berishini ko‘rish o‘ziga xos asabiylikdir, chunki chiqishda hech narsa xato emas. Ansible aynan so‘ralganini qildi: unit ishga tushganiga ishonch hosil qildi, u esa allaqachon ishga tushgan edi. Qayta yozilgan konfiguratsiya faylini qo‘llash boshqa vazifa va faqat biror narsa xizmatga uni qayta o‘qishni aytganda sodir bo‘ladi.

Ikkinchi ishga tushish aslida nima haqida xabar berishini ko‘ring

O‘zgartirilgan konfiguratsiya bilan playbookni ikki marta ishga tushiring va xulosani solishtiring. Ikkinchi ishga tushishda unit vazifasi changed emas, ok ko‘rinishi kerak, chunki allaqachon ishlab turgan xizmat dizayn bo‘yicha tinch qoldiriladi. Bu to‘g‘ri ishlaydigan idempotence va yangi faylning hech qachon kernelga yetib bormasligining sababi ham shu.

Qaysi vazifalar biror narsaga tegishini ko‘rish uchun diff chiqishi bilan tekshiruv ishga tushishini qo‘shing.

ansible-playbook -i inventory site.yml --check --diff
systemctl show wg-quick@wg0 -p ActiveEnterTimestamp -p NRestarts
stat -c '%y %n' /etc/wireguard/wg0.conf

Uch vaqt tamg‘asi bitta log satrini o‘qishdan oldin voqeani aytib beradi. Agar konfiguratsiya fayli unit faol bo‘lgan lahzadan yangiroq bo‘lsa, ishlab turgan interfeys eskiroq fayldan qurilgan va keyingi barcha alomatlar shundan kelib chiqadi.

Bu Ansible nuqsoni emas. Xuddi shu xatti-harakat «ishlayotganiga ishonch hosil qil» va «aynan shuni ishlatayotganiga ishonch hosil qil»ni ajratadigan har qanday konfiguratsiya boshqaruv vositasida uchraydi. Farq yarim kunni yo‘qotmaguningizcha ortiqcha mayda-chuyda bo‘lib ko‘rinadi.

Ishga tushirilgan — bu holat, qayta yuklash emas

state: started unit haqida shartni tasdiqlaydi. U xizmat kirishlarini qayta o‘qishini va’da qilmaydi va hech qachon ochmagan fayl o‘zgarganini bila olmaydi. wg-quick joylashtirishida kirishlarga interfeys konfiguratsiyasi, manzillar, marshrutlar, DNS yozuvlari va har qanday post-up hook kiradi.

Shuning uchun yangilangan faylda yangi peer, boshqa manzil yoki o‘zgargan marshrutlash ko‘rsatmasi bo‘lishi mumkin, jonli interfeys esa eski to‘plamni xizmat qilishda davom etadi. Handshake hali ham muvaffaqiyatli, chunki yuklangan kalitlar va so‘nggi nuqtalar hali amal qiladi. Aynan shu nosozlikni ko‘rishni qiyinlashtiradi va odamlar vaqt tamg‘asini tekshirishdan oldin bir soat DNS ortidan yugurishadi.

Modulning yana ikkita varianti ko‘pincha yechim deb qabul qilinadi. daemon_reload systemd ni unit fayllarini qayta o‘qishga majbur qiladi, bu WireGuard konfiguratsiya fayliga aloqasi yo‘q. state: reloaded unitdan qayta yuklash amalini bajarishni so‘raydi va bu sizga kerakli ishni qiladimi-yo‘qmi, butunlay unitga bog‘liq. Hech biri ishlayotgan jarayon qaysi kirishlarni haqiqatan o‘qiganini bilishning o‘rnini bosmaydi.

Faylni o‘rnating, keyin handlerga xabar bering

Idempotenceni saqlab, o‘zgarishlarni qo‘llaydigan uslub odatiy: faylni yozadigan vazifa handlerga xabar beradi va handler faqat fayl haqiqatan o‘zgarganda ishlaydi. Tahrirsiz ikkinchi ishga tushish hech narsa qilmaydi va sizga ham shu kerak.

- name: write the interface configuration
  ansible.builtin.template:
    src: wg0.conf.j2
    dest: /etc/wireguard/wg0.conf
    owner: root
    mode: "0600"
  notify: apply wg0

- name: ensure the interface unit is enabled
  ansible.builtin.systemd_service:
    name: wg-quick@wg0
    enabled: true
    state: started

- name: apply wg0
  listen: apply wg0
  ansible.builtin.systemd_service:
    name: wg-quick@wg0
    state: restarted

Handlerlar play oxirida, ularga xabar bergan vazifalardan keyin ishlaydi, shuning uchun o‘sha playdagi keyingi vazifa hali eski interfeysni ko‘rishi mumkin. Tartib muhim bo‘lsa, yangi konfiguratsiyaga bog‘liq vazifadan oldin handlerlarni meta: flush_handlers bilan aniq bo‘shating.

Unitning qayta yuklash amalini tekshirmaguningizcha reload o‘rniga restart ishlating. Upstream wg-quick uniti buni qo‘llab-quvvatlaydi va WireGuard konfiguratsiyasini sinxronlaydi, lekin manzillar, marshrutlar, DNS yoki hook sozlamasini qayta bajarmaydi. Shuning uchun marshrut ko‘rsatmasi qo‘shilgandan keyingi reload muvaffaqiyatli ko‘rinadi va hech narsani o‘zgartirmaydi.

Jonli qurilmani fayl bilan solishtiring

Bu toifadagi xatolarni yopadigan tekshiruv kernel ushlab turgan narsa bilan fayl aytgan narsa o‘rtasidagi solishtirishdir. Ikki buyruq solishtirish mumkin bo‘lgan chiqish beradi va farq — bu og‘ish.

sudo wg showconf wg0
sudo wg-quick strip wg0
sudo diff <(sudo wg showconf wg0) <(sudo wg-quick strip wg0)

wg showconf maxfiy kalit bilan birga jonli qurilmani chop etadi, shuning uchun bu chiqishni sir deb biling va tikketga yopishtirmang. wg-quick strip faylni wg-quickga xos kalitlarsiz chop etadi va shu sababli ikkalasini solishtirish mumkin.

Peer ro‘yxatidagi farq fayl hech qachon qo‘llanmaganini bildiradi. Faqat o‘zgarishini kutgan kalitlar yoki so‘nggi nuqtalardagi farq biror narsa uni qisman qo‘llaganini bildiradi. Farq yo‘qligi konfiguratsiya dolzarb va nosozlik boshqa joyda ekanini bildiradi, bu o‘zi foydali natija.

Qayta ishga tushirish narxini bila turib to‘lang

Interfeysni qayta ishga tushirish tunnelni uzadi va agar bu tunnel sizning ma’muriy sessiyangizni tashisa, qayta ishga tushirish uni so‘ragan sessiyani tugatadi. Handlerni o‘zgarish oynasi orqasiga qo‘ying yoki playbookni interfeysni qayta ishga tushirishga bog‘liq bo‘lmagan boshqaruv yo‘lidan ishga tushiring.

Aynan narx odamlarni reloadga tortadi. Bu oqilona instinkt va reload aslida qaysi o‘zgarishlarni qo‘llashini bilsangiz, u to‘g‘ri bo‘ladi. Upstream wg-quick unitida peer va kalit o‘zgarishlari uchun yetarli; manzillash, marshrutlash va hooklar uchun emas. Buni bir marta aniqlashtirish o‘zgarish oynasi paytida kashf qilishdan arzon.

systemd_service moduli hujjati started, restarted va reloaded o‘rtasidagi farqni tushuntiradi va yashil xulosadan taxmin qilish o‘rniga bir marta o‘qishga arziydi. Bu qo‘llanmadagi hamma narsa o‘sha bitta farqdan kelib chiqadi.