مصافحة WireGuard تنجح لكن لا تعود أي استجابة

المصافحات الحديثة خبر سار، وهي ادّعاء أصغر بكثير من الجملة التي يريد الناس كتابتها. تبادل الطرفان رسائل مصافحة موثّقة. ومع ذلك لا تزال حزمة التطبيق بحاجة إلى الوصول إلى وجهتها الداخلية والعودة.

تلك الفجوة بين مستوى تحكم سليم ومستوى بيانات صامت هي الموضوع كله هنا. قراءتان لنفس العدّادات تخبرانك في أي جانب منها أنت.

المصافحة تثبت المفاتيح لا التسليم

مصافحة WireGuard هي اتفاق على المفاتيح مع مصادقة. وهي تنجح بمجرد أن يتمكّن الطرفان من الوصول إلى بعضهما وحمل مفاتيح صالحة. أما التوجيه وسياسة جدار الحماية والوجهة نفسها فهي أسئلة لا تطرحها المصافحة أبدًا.

لذلك يمكن أن يكون النفق قائمًا تمامًا بينما تُسقَط كل حزمة بداخله. الحزمة الداخلية الخاطئة التوجيه والاستجابة التي تسلك مسارًا آخر تبدوان متطابقتين من طرف العميل.

عنوان داخلي واحد هو الاختبار كله

اختر وجهة واحدة والزمها. عنوان النفق الخاص بالطرف الآخر هو الحالة الأسهل، والمضيف خلف الطرف الآخر يضيف قفزة واحدة فقط. التبديل بينهما دون تدوين التغيير ينتج نتائج لا يستطيع أحد مقارنتها.

ثم انظر إلى المسار الذي يختاره العميل. يمكن لمسار محلي أكثر تحديدًا أن يرسل الحزمة إلى مكان آخر قبل أن يُستشار WireGuard أصلًا، وهذا يحدث كلما تداخلت شبكة المنزل المحلية مع النطاق البعيد.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

العنوان الذي يُحلّ إلى الواجهة الفيزيائية قد أجاب عن السؤال بالفعل. النفق لا يُسقط شيئًا. الحزمة لم تدخله قط.

العدّادات دليل وليست حكمًا

wg show يبلّغ عن البايتات المرسلة والمستلمة لكل طرف، والرقمان يتحركان بشكل مستقل. خذ قراءة، ونفّذ طلبًا واحدًا مسموحًا، ثم خذ قراءة أخرى خلال الدقيقة نفسها.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

ارتفاع الإرسال مع ثبات الاستقبال هو بصمة طلب بلا استجابة. لا يقول ما إذا كان الطلب قد صُفّي، أو كانت الوجهة معطلة، أو خرجت الاستجابة عبر مسار آخر. تلك ثلاث تحقيقات تشترك في عرَض واحد. افصل بينها قبل تغيير أي إعداد.

عدد بايتات ثابت ليس حدًا للنجاح أيضًا. قيم العدّادات تتبع حركة المرور، والتعامل مع رقم واحد كدليل على السلامة ينتج هراء واثقًا.

الطرف الآخر يفحص حزمة العودة بنفسه

لا يقبل الطرف البعيد حزمة داخلية إلا عندما يقع المصدر داخل allowedips الخاص بذلك الطرف. وجود مسار على المرسل لا يكفي. غياب إدخال المصدر عند المستقبل يُسقط حركة العودة بصمت.

تقع جدران حماية المضيف خلف ذلك الفحص. قاعدة تمرير تسمح بواجهة النفق لكن ليس بالشبكة الفرعية الداخلية تقبل المصافحة وترفض الحزمة. وهذا يبدو تمامًا كطرف ميت من جهة العميل. كما يمكن لمضيف بواجهتين أن يجيب من المصدر الخطأ، فيهمل الطرف الآخر الاستجابة التي لم يتوقعها.

أبقِ التجربة نزيهة

اختبار ملف وصول بعيد من شبكة المنزل نفسها التي يُفترض أن يصل إليها يمارس مسارًا مختلفًا عن المسار المقصود. انتقل إلى الشبكة الخارجية وسجّل بادئتها المحلية، حتى يمكن مقارنة التشغيلين.

التبادل الصغير الناجح لا يستبعد كل مشاكل المسار أيضًا. يمكن أن تفشل الحزم الأكبر حيث تمرّ الصغيرة، والمرشّح الذي يطابق الحجم أو البروتوكول قد يتصرف بشكل مختلف تحت الحمل.

أبقِ المصافحة كمرحلة معروفة بأنها تعمل وتقدّم منها. الدليل المفيد التالي هو أين يتوقف طلب داخلي واحد، لا مجموعة مفاتيح جديدة وجولة أخرى من التخمين.