مصافحة WireGuard تعمل، أما الخدمة فلا

تكتمل المصافحة، ويعرض العميل عدّاد نقل حديثًا، ومع ذلك يفشل طلب إلى خدمة على الخادم نفسه. هذا المزيج يربك الناس لأن النفق يعمل بشكل واضح. ما لم يُثبت هو التسليم المحلي: وصلت الحزمة إلى المضيف، وما زال على المضيف أن يقبلها على المقبس الصحيح ويسلّمها إلى عملية لديها إذن بالرد. افحص نقاط التفتيش الثلاث بالترتيب.

توقف عند أول نقطة لا تتحقق، ولا تضف قواعد للنقاط الأخرى.

المصافحة تثبت النفق فقط

مصافحة WireGuard تنشئ المفاتيح بين النظيرين وتصرح بالمرور للنطاقات التي سردها كل نظير. لا تقول شيئًا عن العمليات التي تستمع على الخادم، ولا عن قبول جدار الحماية على المضيف للحزم الموجهة إلى أحد عناوينه.

هذا التمييز الأخير هو الأكثر إغفالًا: المرور إلى المضيف نفسه هو إدخال محلي، بينما المرور العابر من المضيف إلى مكان آخر هو إعادة توجيه. يُعالج كل منهما في سلسلة جدار حماية مختلفة وبإعدادات مختلفة. فحص السلسلة الخاطئة يهدر بعد الظهر ويعيد عدادات تبدو بريئة.

اقرأ المستمع والمسار

على العميل، تأكد من أن عنوان النفق الخاص بالخادم يُوجَّه إلى النفق. على الخادم، تأكد من وجود مقبس على العنوان الذي يستخدمه العميل، ومن أن العملية خلفه هي العملية المقصودة.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

المستمع على 127.0.0.1 لن يرد أبدًا على طلب موجه إلى 10.66.0.1، مهما سمح جدار الحماية. أما المستمع على العنوان العام فسيرد، ما لم تمنعه قاعدة. لذا تحسم قائمة المقابس نصف الحالات قبل فحص أي قاعدة. والمنفذ والعنوان معًا يقرران ما إذا كان الطلب يمكن أن يصل.

قارن العنوان الذي يستخدمه العميل بالعنوان الذي يملكه الخادم فعليًا على واجهة النفق. إعداد قديم على أي من الجانبين ينتج طلبًا يُوجَّه بشكل صحيح إلى نظير لا يملك هذا العنوان.

طبّق قواعد الإدخال المحلي، لا إعادة التوجيه

إذا وصلت الحزمة ووُجد المقبس، فالحد المتبقي هو سياسة الإدخال. القاعدة التي تسمح بإعادة التوجيه لا تسمح بالتسليم المحلي، وقد لا تطابق قاعدة محصورة بواجهة واحدة اسم واجهة النفق الذي تتوقعه.

اختبر بمنفذ واحد مسموح نحو الخدمة المقصودة بدلًا من فتح المضيف. ثم افحص تفويض التطبيق نفسه: قد ترفض قائمة سماح أو شرط حساب أو ارتباط باسم مضيف محدد طلبًا سلّمته الشبكة بنجاح.

أبقِ فحوص الشهادات قائمة. هوية شهادة غير متوقعة معلومة عن المضيف الذي رد، وليست عقبة يجب تجاوزها. النقر لتجاوزها يخفي الدليل الوحيد الذي يحدد الخدمة الخاطئة.

افصل إخفاقات الاسم والحجم والهوية

الخدمة التي تعمل بالعنوان وتفشل بالاسم مشكلة DNS، وإصلاحها في إعداد أداة الحل التي تُدفع إلى العميل لا في جدار الحماية. الخدمة التي ترد على الطلبات الصغيرة وتتعطل مع الاستجابات الأكبر تشير إلى حجم الحزمة و MTU، وهو تحقيق مختلف تمامًا.

خطأ HTTPS يسمي مضيفًا خاطئًا يعني عادةً أن الطلب وصل إلى خدمة أخرى، غالبًا لأن وكيلًا أو مستمعًا آخر يملك ذلك المنفذ. اقرأ موضوع الشهادة وقارنه بالمضيف الذي أردت الوصول إليه. هذه المقارنة لا تكلف شيئًا وكثيرًا ما تُنهي التحقيق.

سجّل نقطة التفتيش التي فشلت: المقبس، أو قاعدة الإدخال، أو سياسة التطبيق. هذا السطر الواحد يميز عطل الشبكة عن قرار تفويض. ويمنع أيضًا الشخص التالي من فتح منافذ لم تكن المشكلة أبدًا.