WireGuard standart marshruti halqasi: oxirgi nuqta yo‘lini toping

Interfeys ko‘tariladi, hamkor konfiguratsiyasi to‘g‘ri ko‘rinadi va hech qanday qo‘l berib ko‘rishish hech qachon tugamaydi. Tunnel orqali standart marshrut qo‘shish buni ko‘pincha keltirib chiqaradigan qadamdir: o‘sha marshrutlar jadvali endi tunnelning o‘z shifrlangan paketlari qayerga borishini hal qiladi va u bergan javob yana tunnel ichiga qaytadi. Ichki paketni olib o‘tadigan tashqi paketni olib o‘tadigan hech narsa yo‘q, shuning uchun ulanish boshlanishidan oldin to‘xtaydi. Tuzatish kichik, lekin uning tartibi bor va tekshirish tahrirdan muhimroq.

Marshrutni o‘zgartirishdan oldin halqani tasdiqlang

Hamkorning joriy oxirgi nuqta manzilini o‘qing va so‘ng marshrutlash stekidan o‘sha manzilga boradigan paket qayerga ketishini so‘rang. Agar javob tunnel interfeysini nomlasa, halqa tasdiqlangan va qo‘shimcha diagnostika kerak emas. Biror narsaga tegishdan oldin ikkala chiqishni o‘zgarishlar jurnaliga saqlang, chunki tuzatishdan keyingi taqqoslash o‘sha ikki buyruqdir. Halqa bir marta ko‘rilgach nozik emas; qiyinchilik shundaki, bu sodir bo‘layotganda interfeys sog‘lom ko‘rinadi.

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

O‘sha yozuvga siyosat qoidalarini kiriting. Asosiy jadvalda to‘g‘ri ko‘rinadigan standart marshrut belgilangan yoki belgilanmagan trafik uchun boshqa jadvalni tanlaydigan qoidaga hali ham yutqazishi mumkin va marshrutlar jadvali yaxshi ko‘rinsa ham halqa yana paydo bo‘ladi.

Oxirgi nuqta yo‘lini o‘qing, tunnel yo‘lini emas

Oxirgi nuqta yo‘li shifrlangan datagrammalar hamkorning ommaviy manziliga boradigan marshrutdir va tunnel mavjud ekan, u tunneldan tashqarida qolishi kerak. Tunnel yo‘li hamkorga olib o‘tishga ruxsat berilgan hamma narsadir. Bu ikki yo‘l bitta marshrutlar jadvalini bo‘lishadi va shuning uchun bitta hamma narsani ushlaydigan yozuv ularni bir-biriga qulatishi mumkin. Tunnel trafigini tunnelning o‘z transportidan ajratish butun dizayn muammosidir va har bir qo‘llab-quvvatlanadigan vosita uni qayerdadir biroz boshqacha hal qiladi.

Interfeys ikkalasini ham olib o‘tsa, ikkala manzil oilasini alohida tekshiring. Ishlaydigan IPv4 istisnosi IPv6 oxirgi nuqtasiga hali ham yetib borish mumkinmi degan savolga hech narsa aytmaydi va aralash konfiguratsiya hamkorning IPv6 manzili tanlanmaguncha ishlayotgandek ko‘rinishi mumkin.

Oxirgi nuqta yo‘lini bitta izchil o‘zgarish bilan tiklang

Ikkita qo‘llab-quvvatlanadigan yondashuv mavjud va ularni aralashtirish ishlaydigan sozlamani oldindan aytib bo‘lmaydigan holga keltiradigan yo‘ldir. Birinchisi, interfeysga egalik qiluvchi vositaga butun tunnelni boshqarishga ruxsat berishdir: wg-quick standart hamkor diapazoni uchun maxsus ishlov berishga ega va u alohida jadval, siyosat qoidalari va soket belgisini o‘rnatadi, bu tashqi paketlarni tunneldan tashqarida ushlab turadi. Bu mexanizmni yarmini qo‘lda qayta yaratish o‘rniga butun holda qoldiring. Qo‘lda qo‘shilgan standartni allaqachon belgilar va qoidalarni o‘rnatuvchi menejer bilan aralashtirgan sozlama qayta ulangandan keyin muvaffaqiyatsizlikka uchraydi, chunki menejer qo‘l qadami taxmin qilgan holatni qayta yozadi.

Ikkinchisi qo‘lda qilingan dizayn bo‘lib, unda oxirgi nuqta jismoniy shlyuz orqali aniq xost marshrutini oladi. Bu marshrutni standartdan oldin qo‘shing, eski yozuv g‘alaba qozonmasligi uchun qo‘shish o‘rniga almashtiring va so‘ng qidiruvni tasdiqlang.

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

Tekshiring, so‘ng qaytish yo‘lini saqlang

Oldinga siljib borayotgan qo‘l berib ko‘rishish vaqt belgisi birinchi dalil va u shunchaki mavjud interfeysdan kuchliroq. Uni tunnel orqali dastur sinovi bilan davom ettiring, so‘ng interfeysni ataylab tushiring va xost hech narsaga ishora qilmaydigan standart marshrutni ushlab turish o‘rniga foydalanish mumkin bo‘lgan holatga qaytishini tasdiqlang. Oxirgi qadamni odamlar o‘tkazib yuboradi va qayta ishga tushirish mashinani aloqasiz qoldiradimi-yo‘qmi, buni o‘sha hal qiladi.

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

Bularning barchasidan oldin joriy marshrutlash holatini saqlang va tunnelga bog‘liq bo‘lmagan kirish yo‘li borligiga ishonch hosil qiling: konsol, tashqi boshqaruv manzili yoki joyida hamkasb. Standart marshrutini yo‘qotgan masofaviy mashinani hozirgina yo‘qotgan ulanish orqali tiklab bo‘lmaydi va runbookdagi eng xavfsiz qadam birinchi buyruqdan oldin qilingan qadamdir.