WireGuard-handdruk slaag, maar geen antwoord kom terug nie

Onlangse handdrukke is goeie nuus, en 'n veel kleiner bewering as die sin wat mense wil skryf. Die eweknieë het geauthentiseerde handdrukboodskappe uitgeruil. 'n Toepassingspakket moet steeds sy binne-bestemming bereik en terugkom.

Daardie gaping tussen 'n gesonde beheervlak en 'n stille datavlak is die hele onderwerp hier. Twee lesings van dieselfde tellers vertel jou aan watter kant daarvan jy is.

Handdruk bewys sleutels, nie aflewering nie

Die WireGuard-handdruk is 'n sleutelooreenkoms met outentikasie. Dit slaag sodra die eweknieë mekaar kan bereik en geldige sleutels hou. Roetering, firewall-beleid en die bestemming self is vrae wat die handdruk nooit vra nie.

So kan 'n tonnel heeltemal gevestig wees terwyl elke pakket daarin laat val word. 'n Verkeerd geroteerde binne-pakket en 'n antwoord wat 'n ander pad neem, lyk dieselfde vanaf die kliënt.

Een binne-adres is die hele toets

Kies een bestemming en bly daarby. Die eweknie se eie tonneladres is die maklikste geval, en 'n gasheer agter die eweknie voeg presies een hop by. Om tussen hulle te wissel sonder om die verandering te noteer, lewer resultate wat niemand kan vergelyk nie.

Kyk dan na die roete wat die kliënt kies. 'n Meer spesifieke plaaslike roete kan die pakket elders stuur voordat WireGuard hoegenaamd geraadpleeg word, wat gebeur wanneer die huis-LAN die afgeleë reeks oorvleuel.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

'n Adres wat na die fisiese koppelvlak oplos, het die vraag al beantwoord. Die tonnel laat niks val nie. Die pakket het nooit daar ingegaan nie.

Tellers is bewyse, nie 'n uitspraak nie

wg show rapporteer grepe gestuur en ontvang per eweknie, en die twee getalle beweeg onafhanklik. Neem 'n lesing, maak een toegelate versoek en neem dan binne dieselfde minuut 'n ander lesing.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Stuur wat klim terwyl ontvangs plat is, is die handtekening van 'n onbeantwoorde versoek. Dit sê nie of die versoek gefiltreer is, of die bestemming af was, of die antwoord op 'n ander roete vertrek het nie. Dit is drie ondersoeke wat een simptoom deel. Skei hulle voordat jy enige konfigurasie verander.

'n Vaste grepe-telling is ook nie 'n suksesdrempel nie. Tellerswaardes volg die verkeer, en om een getal as bewys van gesondheid te behandel, lewer selfversekerde nonsens.

Die eweknie kontroleer die terugpakket self

Die verre eweknie aanvaar 'n binne-pakket net wanneer die bron binne daardie eweknie se allowedips val. 'n Roete wat op die sender bestaan, is nie genoeg nie. 'n Ontbrekende broninskrywing by die ontvanger laat die terugverkeer stilweg val.

Gasheer-firewalls sit agter daardie kontrole. 'n Deurstuur-reël wat die tonnelkoppelvlak toelaat maar nie die binne-subnet nie, aanvaar die handdruk en verwerp die pakket. Dit lyk presies soos 'n dooie eweknie van die kliënt se kant. 'n Gasheer met twee koppelvlakke kan ook uit die verkeerde bron antwoord, en die eweknie verwerp dan die antwoord wat dit nooit verwag het nie.

Hou die eksperiment eerlik

Om 'n afstandstoegang-profiel te toets vanaf dieselfde huisnetwerk wat dit veronderstel is om te bereik, oefen 'n ander pad as die bedoelde een. Gaan na die eksterne netwerk en teken sy plaaslike voorvoegsel aan, sodat die twee lopies vergelyk kan word.

'n Klein suksesvolle uitruiling sluit ook nie elke padprobleem uit nie. Groter pakkette kan misluk waar kleintjies deurgelaat word, en 'n filter wat op grootte of protokol match, kan onder las anders optree.

Hou die handdruk as die bekende werkende stadium en beweeg daarvandaan vorentoe. Die volgende nuttige bewys is waar een binne-versoek stop, nie 'n vars stel sleutels en nog 'n rondte raaiwerk nie.