WireGuard rukovanje uspije, ali odgovor se ne vraća

Nedavna rukovanja su dobra vijest i mnogo manja tvrdnja od rečenice koju ljudi žele napisati. Strane su razmijenile autentificirane poruke rukovanja. Paket aplikacije ipak mora stići do svog unutrašnjeg odredišta i vratiti se.

Taj jaz između zdravog kontrolnog sloja i nijemog podatkovnog sloja cijela je tema ovdje. Dva očitanja istih brojača govore vam na kojoj ste strani.

Rukovanje dokazuje ključeve, ne dostavu

WireGuard rukovanje je dogovor o ključevima s autentifikacijom. Uspijeva čim strane mogu doći jedna do druge i imati valjane ključeve. Usmjeravanje, pravila vatrozida i samo odredište su pitanja koja rukovanje nikada ne postavlja.

Tako tunel može biti savršeno uspostavljen dok se svaki paket u njemu odbacuje. Pogrešno usmjeren unutrašnji paket i odgovor koji krene drugim putem izgledaju isto s klijentove strane.

Jedna unutrašnja adresa je cijeli test

Odaberite jedno odredište i ostanite pri njemu. Vlastita adresa tunela druge strane najlakši je slučaj, a host iza nje dodaje točno jedan skok. Izmjenjivanje između njih bez bilježenja promjene daje rezultate koje nitko ne može uporediti.

Zatim pogledajte rutu koju klijent bira. Specifičnija lokalna ruta može poslati paket negdje drugdje prije nego što se WireGuard uopće pita, a to se događa kad god se kućni LAN preklapa s udaljenim rasponom.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Adresa koja se razrješava na fizičko sučelje već je odgovorila na pitanje. Tunel ništa ne odbacuje. Paket nikada nije ušao u njega.

Brojači su dokaz, ne presuda

wg show prijavljuje bajtove poslane i primljene po strani, a ta se dva broja kreću neovisno. Uzmite očitanje, uputite jedan dopušteni zahtjev, pa uzmite novo očitanje unutar iste minute.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Rast slanja uz ravno primanje potpis je neodgovorenog zahtjeva. To ne kaže je li zahtjev filtriran, je li odredište bilo ugašeno ili je odgovor otišao drugom rutom. To su tri istrage s jednim simptomom. Razdvojite ih prije nego što promijenite bilo koju konfiguraciju.

Ni fiksan broj bajtova nije prag uspjeha. Vrijednosti brojača slijede promet, a tretiranje jednog broja kao dokaza zdravlja daje samouvjerenu besmislicu.

Druga strana sama provjerava povratni paket

Udaljena strana prihvaća unutrašnji paket samo kad izvor padne unutar allowedips te strane. Ruta koja postoji kod pošiljatelja nije dovoljna. Nedostajući unos izvora kod primatelja tiho odbacuje povratni promet.

Vatrozidi hosta stoje iza te provjere. Pravilo prosljeđivanja koje dopušta sučelje tunela ali ne unutrašnju podmrežu prihvaća rukovanje i odbija paket. S klijentove strane to izgleda točno kao mrtva druga strana. Host s dva sučelja može također odgovoriti s pogrešnog izvora, a strana tada odbacuje odgovor koji nikada nije očekivala.

Držite eksperiment poštenim

Testiranje profila udaljenog pristupa s iste kućne mreže koju treba dosegnuti uvježbava drugi put od predviđenog. Prijeđite na vanjsku mrežu i zabilježite njezin lokalni prefiks, kako bi se dva pokretanja mogla uporediti.

Mala uspješna razmjena također ne isključuje sve probleme s putem. Veći paketi mogu pasti gdje mali prolaze, a filtar koji se podudara po veličini ili protokolu može se pod opterećenjem ponašati drukčije.

Zadržite rukovanje kao poznatu radnu fazu i krenite dalje od nje. Sljedeći koristan dokaz je gdje se jedan unutrašnji zahtjev zaustavlja, a ne novi skup ključeva i još jedan krug nagađanja.