WireGuard no mostra cap handshake recent: què cal comprovar primer

Un camp d’últim handshake buit normalment vol dir que la interfície no ha completat cap handshake des que es va aixecar, cosa que diu menys sobre la configuració del que sembla. WireGuard roman en silenci fins que un paquet ha de sortir per la interfície, així que un peer inactiu sense res a enviar informa exactament d’això. Establiu si realment s’ha ofert alguna cosa abans d’inspeccionar les claus.

La prova és un paquet permès cap a una destinació que el peer hauria de portar. Tota la resta d’aquesta pantalla d’estat descriu intenció, no activitat.

Una interfície inactiva no té res a informar

WireGuard fa els handshakes mandrosament: el primer paquet que necessita el túnel activa l’intercanvi i la interfície calla fins llavors. Un peer configurat i mai utilitzat mostra un handshake buit, zero bytes rebuts i un interval creixent des de l’últim. Aquest estat és saludable per a un client inactiu i alarmant només si esperàveu que el trànsit ja hagués fluït. Reviseu també els comptadors de transferència, perquè separen res-enviat de provat-i-fallat.

Si els comptadors estan a zero als dos costats, el problema és per sobre del túnel. Res no va arribar a la interfície per activar res.

Activa trànsit que el peer tingui permès de portar

Trieu una adreça dins dels prefixos permesos del peer, a la màquina local, i confirmeu que la taula d’encaminament l’enviaria per la interfície. Una destinació fora d’aquests prefixos produeix una petició encaminada ordinària sense cap intervenció de WireGuard. Utilitzeu un servei que respongui ràpidament, com un ping o una connexió TCP curta, perquè l’intent tingui un inici i un final visibles. Després torneu a llegir la línia del handshake en lloc de mirar la pantalla i esperar.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

La consulta de ruta importa més que el ping. Si anomena la interfície física, el paquet no va entrar mai al túnel i el handshake buit és una resposta d’encaminament, no criptogràfica. Repareu la ruta abans de depurar el peer.

Compareu el parell de claus i el punt final

Un cop el trànsit s’ofereix de debò, la identitat és la comprovació següent. La clau privada local ha de correspondre a la clau pública que autoritza l’altre costat, la clau pública remota configurada ha d’identificar el peer previst i qualsevol clau prèviament compartida ha de coincidir a les dues bandes. Una diferència d’un sol caràcter en una clau base64 produeix un peer que sembla configurat i mai completa cap intercanvi. Compareu amb el registre d’aprovisionament en lloc de regenerar claus, perquè una clau nova invalida tots els peers que confiaven en l’antiga.

El punt final necessita el mateix escrutini: nom d’amfitrió, adreça, port UDP i la família feta servir per arribar-hi. Una adreça obsoleta o el port equivocat produeixen silenci en lloc d’un missatge.

Vigileu el camí UDP exterior

El handshake viatja com a UDP cap al punt final, així que el camí exterior l’ha de portar. Les ordres de sota comproven si hi ha un receptor, si la pila local va emetre el datagrama i quin punt final està configurat. Executeu la captura mentre activeu el trànsit, no abans.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Una captura que mostra la iniciació sense resposta apunta fora de la màquina, perquè l’altre extrem o no escolta, o està filtrat, o està adreçat incorrectament. Una captura que no mostra res vol dir que el paquet no va sortir mai, cosa que us retorna a la ruta i a qualsevol marca de socket en joc. Quan administreu els dos extrems, correleu l’intent per marca de temps amb una captura estreta al servidor en lloc d’una de general. Una prova de port TCP no demostra res aquí, perquè el protocol és només UDP.

Quan aparegui un handshake, proveu una aplicació a través del túnel, perquè un intercanvi complet demostra identitat i abast, no un cabal utilitzable ni un DNS correcte. Guardeu la sortida d’estat abans i després del canvi, i la diferència es converteix en la vostra evidència.