WireGuard əl sıxması uğurludur, amma cavab geri qayıtmır

Son əl sıxmaları yaxşı xəbərdir və insanların yazmaq istədiyi cümlədən qat-qat kiçik bir iddiadır. Tərəflər autentifikasiyalı əl sıxma mesajları mübadilə etdi. Tətbiq paketi hələ də daxili təyinatına çatıb geri qayıtmalıdır.

Sağlam idarəetmə müstəvisi ilə səssiz məlumat müstəvisi arasındakı bu boşluq buradakı bütün mövzudur. Eyni sayğacların iki oxunuşu sizə onun hansı tərəfində olduğunuzu deyir.

Əl sıxması açarları sübut edir, çatdırılmanı yox

WireGuard əl sıxması autentifikasiya ilə açar razılaşmasıdır. Tərəflər bir-birinə çata bildiyi və etibarlı açarlar saxladığı anda uğurlu olur. Marşrutlaşdırma, firewall siyasəti və təyinatın özü əl sıxmasının heç vaxt vermədiyi suallardır.

Beləliklə tunel tam qurulmuş ola bilər, halbuki içindəki hər paket atılır. Səhv marşrutlaşdırılmış daxili paket və başqa yolla gedən cavab müştəri tərəfindən eyni görünür.

Bir daxili ünvan bütün testdir

Bir təyinat seçin və onunla qalın. Tərəfdaşın öz tunel ünvanı ən asan haldır və tərəfdaşın arxasındakı host tam bir hop əlavə edir. Dəyişikliyi qeyd etmədən onların arasında keçid etmək heç kimin müqayisə edə bilməyəcəyi nəticələr verir.

Sonra müştərinin seçdiyi marşruta baxın. Daha konkret yerli marşrut paketi WireGuard-a ümumiyyətlə müraciət edilməzdən əvvəl başqa yerə göndərə bilər ki, bu da ev LAN-ı uzaq diapazonla üst-üstə düşəndə baş verir.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Fiziki interfeysə çevrilən ünvan sualı artıq cavablandırıb. Tunel heç nə atmaqda deyil. Paket heç vaxt ora girməyib.

Sayğaclar dəlildir, hökm deyil

wg show tərəfdaş üzrə göndərilən və alınan baytları bildirir və iki rəqəm bir-birindən asılı olaraq hərəkət edir. Oxunuş götürün, bir icazəli sorğu edin, sonra həmin dəqiqə ərzində başqa oxunuş götürün.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Göndərmənin artması, qəbulun sabit qalması cavabsız sorğunun imzasıdır. Bu, sorğunun filtrləndiyini, təyinatın söndüyünü və ya cavabın başqa marşrutla getdiyini demir. Bunlar bir simptomu bölüşən üç araşdırmadır. Hər hansı konfiqurasiyanı dəyişməzdən əvvəl onları ayırın.

Sabit bayt sayı da uğur həddi deyil. Sayğac dəyərləri trafikə uyğun gəlir və bir rəqəmi sağlamlıq sübutu kimi qəbul etmək arxayın cəfəngiyyat yaradır.

Tərəfdaş geri paketi özü yoxlayır

Uzaq tərəf daxili paketi yalnız mənbə həmin tərəfdaşın allowedips daxilində olduqda qəbul edir. Göndərəndə mövcud olan marşrut kifayət etmir. Qəbul edəndə mənbə qeydinin olmaması geri trafiki səssizcə atır.

Host firewall-ları bu yoxlamanın arxasındadır. Tunel interfeysinə icazə verən, lakin daxili alt şəbəkəyə verməyən yönləndirmə qaydası əl sıxmasını qəbul edir və paketi rədd edir. Bu, müştəri tərəfindən tam ölü tərəf kimi görünür. İki interfeysli host da səhv mənbədən cavab verə bilər və tərəfdaş heç vaxt gözləmədiyi cavabı atır.

Təcrübəni dürüst saxlayın

Uzaqdan giriş profilini çatmaq üçün nəzərdə tutulduğu eyni ev şəbəkəsindən sınamaq nəzərdə tutulan yoldan fərqli bir yolu işə salır. Xarici şəbəkəyə keçin və onun yerli prefiksini qeyd edin ki, iki qaçış müqayisə oluna bilsin.

Kiçik uğurlu mübadilə də hər yol problemini istisna etmir. Böyük paketlər kiçiklərin keçdiyi yerdə uğursuz ola bilər və ölçüyə və ya protokola uyğunlaşan filtr yük altında fərqli davrana bilər.

Əl sıxmasını işlədiyi bilinən mərhələ kimi saxlayın və oradan irəli gedin. Növbəti faydalı dəlil bir daxili sorğunun harada dayandığıdır, yeni açar dəsti və daha bir təxmin turu deyil.