WireGuard AllowedIPs: NetworkManager hech qachon qo‘shmagan marshrut

Qo‘l berish hisoblagichi yangilanadi, interfeys o‘z manzilini saqlaydi, narigi tomonga yuborilgan ping esa hech qayerga yetib bormaydi. Bu uyg‘unlik odamlarni chalg‘itadi, chunki ishlayotgan qo‘l berish tunnel tayyorligining dalilidek ko‘rinadi. Unday emas: tunnel to‘liq kelishilgan bo‘lishi va baribir unga trafik yo‘naltiruvchi bitta ham marshrut bo‘lmasligi mumkin, va bular holatning ikki alohida bo‘lagi bajaradigan ikki alohida ishdir. Tuzatish aynan shu ikkisidan qaysi biri yetishmayotganiga bog‘liq, shuning uchun birinchi qadam shuni aniqlashdir.

wg-quick ikkalasini ham so‘ramasdan bajaradi. NetworkManager ichidagi WireGuard qo‘llab-quvvatlashi ham sukut bo‘yicha peer marshrutlarini o‘rnatadi, bu esa gumondorlarni o‘chirilgan variantga, boshqa marshrutlash jadvaliga yoki boshqa narsa orqali import qilingan konfiguratsiyaga qisqartiradi.

Marshrut orqasidan quvishdan oldin tunnelni tasdiqlang

wg show interfeysni, peerni, oxirgi nuqtani va so‘nggi qo‘l berishning yoshini chiqaradi, ip addr show esa manzil borligini tasdiqlaydi. Yaqinda bo‘lgan qo‘l berish kalitlar, oxirgi nuqta va UDP yo‘li ishlayotganini bildiradi. Buzilgan hamma narsa ularning quyisida o‘tiradi: marshrutlash, filtrlash yoki nomlarni yechish.

So‘ng yadrodan faraziy emas, haqiqiy manzil bilan nima qilishini so‘rang: ip route get 10.42.7.9. Javob chiqish interfeysini va paket olib ketadigan manba manzilini nomlaydi. U jismoniy adapterni nomlaganda, qo‘l berish qanchalik sog‘lom ko‘rinmasin, paket hech qachon tunnelga kirmaydi.

AllowedIPs ham filtr, ham marshrutlar ro‘yxati

AllowedIPs prefikslari ikki ishni bajaradi. Ular qaysi peer chiqish manzilini olib ketishini tanlaydi va kiruvchi paketlarning manba manzilini tekshiradi, bu esa shifrlash kaliti marshrutlashning chegarasidir. wg-quickda ular marshrutlarni avtomatik o‘rnatishni ham boshqaradi, va aynan shu qo‘shimcha xatti-harakat bir xil konfiguratsiya terminaldan ishlab, ish stoli mijozidan ishlamasligining sababidir.

Ushbu maqola orqasidagi holatda profil ichki qo‘llab-quvvatlash orqali emas, uchinchi tomon plagin orqali import qilingan va interfeys prefiks marshrutisiz ko‘tarilgan. Jadvalni ro‘yxatlash buni darhol ko‘rsatadi: ip route show faqat interfeys manzilining ulangan marshrutini o‘z ichiga oladi, olis diapazon uchun hech narsa yo‘q.

Peer marshrutlari umuman yoqilganmi, so‘rang

Biror narsani o‘zgartirishdan oldin sozlamani o‘qing: nmcli -f wireguard.peer-routes,ipv4.route-table connection show work-wg. peer-routes no ko‘rsatganda, qo‘llab-quvvatlanadigan tuzatish nmcli connection modify work-wg wireguard.peer-routes yes, so‘ng qayta ulanishdir. Buning o‘rniga statik marshrut qo‘shish keyingi faollashtirishgacha ishlaydi va keyin jimgina yo‘qoladi. Aynan o‘sha yo‘qolish alomatdir: har kuni ertalab jumboq bo‘lib qaytadigan marshrutni profil o‘rnatmaydi.

Agar variant allaqachon yoqilgan bo‘lsa, prefiks boshqa jadvalda yashaydimi-yo‘qmi, ip route show table all | grep 10 bilan tekshiring. Asosiy bo‘lmagan jadvaldagi marshrut yo‘qolgan emas, u faqat asosiy jadvalga qaraydigan qidiruv uchun ko‘rinmasdir. Ustiga nusxa yozuv uyishtirish o‘rniga siyosat marshrutlashni tuzating.

Prefiksni ishlab turgan tizimga emas, ulanishga qo‘shing

Ulanish muharririda WireGuard sahifasi peerni va uning AllowedIPsini saqlaydi, IPv4 sahifasi esa qo‘shimcha marshrutlarni saqlaydi. U yerda qo‘shilgan marshrut qayta ulanishlardan omon qoladi, chunki profilga tegishli. Buyruq satrida muqobili bo‘sh darvoza shaklida ulanishga marshrut qo‘shish, so‘ng o‘zgarish qo‘llanishi uchun ulanishni tushirib, qayta ko‘tarishdir.

Sizga kerakli xostlarni qamrab oladigan eng tor prefiksni tanlang. Provayderning /8 misolini ko‘chirish uning ichida tasodifan joylashgan mahalliy diapazonlarni yutib yuborishi mumkin, va natijada kelib chiqadigan nosozliklar juda keng marshrut emas, buzilgan tunnel kabi ko‘rinadi.

Bo‘lingan tunnelni prefikslar ro‘yxati hal qiladi

Bo‘lingan tunnel uchun kalit yo‘q; prefikslar ro‘yxati qarordir. Ofis LAN uchun bitta diapazon va laboratoriya tarmog‘i uchun yana bittasi bo‘lgan peer aynan o‘sha manzillarni tunneldan yuboradi va qolganini tinch qo‘yadi. Bitta xostga /32 kerak, ikki joyda ustma-ust tushadigan diapazonlarga esa kimdir quyi tarmoqni qayta raqamlamaguncha xost prefikslari kerak.

Tunneldan hech narsa yubormaslikni tanlash xuddi shu qarorni chegarasigacha olib boradi: eng kam ro‘yxat bog‘lanishni yuqorida ushlab turadi, oddiy trafik esa o‘z odatdagi yo‘lida davom etadi. Niyatni yozib qo‘ying, aks holda keyingi o‘quvchi qisqa ro‘yxatni beparvolik deb bilib, yaxshilik uchun uni kengaytiradi.

Marshrutlar jadvali uchun bitta egasi

wg-quick va NetworkManager ikkalasi ham interfeys marshrutlarini o‘ziniki deb biladi. wg-quick uchun yozilgan konfiguratsiyani import qiling, so‘ng wg-quick xizmatini ham ishga tushiring, va xatti-harakati qaysi biri oxirgi ishlaganiga bog‘liq bo‘lgan takroriy yoki ziddiyatli yozuvlarga ega bo‘lasiz. Bitta egasini tanlang va boshqasini olib tashlang: agar NetworkManager ulanishni boshqarsa, o‘sha interfeys uchun wg-quick birligini o‘chiring va bir xil qurilma uchun hech qachon ikkinchi profil qo‘shmang.

Bo‘linish manzilga emas, jismoniy adapterga ergashishi kerak bo‘lsa, siz siyosat marshrutlashga o‘tgansiz, siyosat marshrutlash ham bitta muallifni talab qiladi. ip route get ni takrorlab tasdiqlang, so‘ng olis prefiks ichidagi xostga uning tanlagan manba manzilini chiqaradigan narsa bilan yetib boring. Agar profil ulardan birini olib yursa, IPv6 va DNSni alohida tekshiring.