Sut i adeiladu prawf WireGuard dau gyfoedr sy'n profi un llwybr

Ni all prawf WireGuard sy'n cario llwybr diofyn, rhagddodiad LAN, DNS ac eithriad tânfur ddweud wrthych pa un ohonynt a dorrwyd. Tynnwch ef i lawr i ddau gyfoedr, un pâr o gyfeiriadau ac un gwasanaeth a ganiateir, ac nid oes gan y methiant le i guddio. Y sylfaen ddiflas yw'r diagnostig. Adeiladwch hi gyntaf; mae'n cymryd pymtheg munud ac yn arbed y prynhawn y byddech fel arall yn ei dreulio'n dyfalu.

Mae'r hyn y mae'r sylfaen yn ei brofi yn gulach nag y mae'r rhan fwyaf o bobl yn ei ddisgwyl. Mae'n profi bod dau hunaniaeth yn cytuno, bod UDP yn cyrraedd y porth clywed, a bod un gyrchfan a ganiateir yn cario cais. Mae llwybro ymlaen, NAT, llwybrau LAN a DNS yn nodweddion ar wahân i'w hychwanegu wedyn, un ar y tro.

Allweddau, cyfeiriadau a'r un pwynt diwedd

Cynhyrchwch bâr o allweddau ar bob system a symudwch rhyngddynt ond yr haneri cyhoeddus. wg genkey | tee privatekey | wg pubkey > publickey yw'r un llinell a ddogfennir, ac mae'n gadael yr allwedd breifat mewn ffeil y gallwch ei diogelu wedyn. Dewiswch gyfeiriadau tiwnel o ystod nad yw'n ymddangos mewn unrhyw ffurfweddiad arall sydd gennych, fel 10.99.0.1/24 a 10.99.0.2/24. Nodwch pa gyfeiriad sy'n perthyn i ba peiriant, oherwydd mae pob archwiliad diweddarach yn dibynnu ar y mapio hwnnw.

Nid yw allweddau preifat byth yn teithio. Os oes angen un wedi'i gopïo i'r ochr arall ar brawf, mae'r prawf eisoes wedi mynd o'i le. Pan fo'r ddwy system y tuôl i NAT, mae angen porth UDP y gellir ei gyrraedd ar o leiaf un tra bo'r llall yn cario Endpoint sy'n pwyntio ato, ac mae'r cyfeiriad cyhoeddus a'r porth yn perthyn i'ch nodiadau yn hytrach nag i'ch tybiaethau am 51820.

Mae anfon porth ymlaen sy'n mapio porth allanol gwahanol yn gweithio'n iawn cyhyd â bod yr Endpoint yn cyfateb iddo. Mae anghysondebau yma'n cynhyrchu distawrwydd yn hytrach na gwallau, a dyna pam mae'n werth eu harchwilio ar bapur cyn dadfygio ar y wifren.

Y meysydd sy'n perthyn i wg a'r rhai nad ydynt

Mae'r set graidd o feysydd yn fach: PrivateKey a ListenPort o dan Interface, PublicKey, AllowedIPs ac Endpoint o dan Peer. Mae Address a DNS yn perthyn i wg-quick yn hytrach nag i wg ei hun, ac mae'r gwahaniaeth hwnnw'n brathu'r eiliad y bydd yr un ffurfweddiad yn symud i offeryn arall.

[Interface]
PrivateKey = <peer-a-private>
Address = 10.99.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <peer-b-public>
AllowedIPs = 10.99.0.2/32
Endpoint = 203.0.113.10:51820

Mae AllowedIPs yn cario dau dasg ar unwaith. Mae'n dewis pa gyrchfannau sy'n mynd i'r tiwnel, ac yn awdurdodi'r cyfoedr i ddefnyddio'r cyfeiriadau ffynhonnell hynny wrth gyrraedd. Oherwydd hynny, rhaid i'r cofnod drych ar yr ochr arall enwi cyfeiriad eich tiwnel yn union; mae /32 ar gyfer y cyfoedr anghywir yn darllen fel problem lwybro ac yn ymddwyn fel un awdurdodi. Cychwyn cyflym WireGuard yn dangos yr un siâp dau gyfoedr gyda'r geiriad canonig os ydych eisiau cymharu enwau meysydd.

Darllen yr handshake yn lle'r eicon

Codwch y rhyngwyneb trwy beth bynnag sy'n berchen arno, yna darllenwch gyflwr yn lle golau statws. wg show yn argraffu'r handshake diweddaraf fesul cyfoedr ynghyd â chyfrifwyr beit, ac mae handshake yn ystod y munudau diwethaf yn golygu bod allweddau, pwynt diwedd a llwybr UDP i gyd yn gweithio. Mae cyfrifydd sy'n codi mewn un cyfeiriad yn unig yn ateb iddo'i hun, ac nid yw'n golygu'r un methiant â handshake na fydd byth yn digwydd.

Mae'r ddau fethiant yn awgrymu ymchwiliadau gwahanol. Mae absenoldeb llwyr handshake yn cyfeirio at anghysondeb allweddau, Endpoint anghywir, UDP wedi'i rwystro neu dânfur yn gollwng yr handshake ei hun. Mae handshake sy'n llwyddo tra nad yw data'n mynd i unman yn cyfeirio at AllowedIPs, gwasanaeth nad yw'n clywed ar gyfeiriad y tiwnel, neu dânfur gwesteiwr sy'n derbyn y porth ar gyfer y LAN ond nid ar gyfer rhyngwyneb y tiwnel. Dwy hanner gwahanol o'r system yw'r rhain, ac mae'r sylfaen yn eu gwahanu cyn i chi ddechrau newid rheolau.

Profi un gwasanaeth a ganiateir, yna'r gwrthwyneb

Gwnewch gais i gyfeiriad tiwnel y cyfoedr arall ar wasanaeth y bwriedir iddo ateb, a dewiswch rywbeth gwell na ping. Gall ateb ICMP coll fod yn hidlo gwesteiwr yn hytrach na nam tiwnel, felly nid yw ping distaw yn profi'r un cyfeiriad. Mae cysylltiad TCP i borth y gwyddoch ei fod ar agor, neu gais sy'n dychwelyd data, yn rhoi ateb y gallwch ei ddehongli.

Rhedwch y cyfeiriad gwrthdro fel prawf ar wahân gyda'i ganlyniad ei hun, oherwydd mae gan y ddau gyfeiriad gofnodion tânfur ac AllowedIPs ar wahân a gallant fethu'n annibynnol. Os yw'r handshake yn gweithio ac nad yw'r cais, mae'r broblem yn y llwybr data yn hytrach nag yn y tiwnel: AllowedIPs, y gwasanaeth sy'n clywed, neu dânfur gwesteiwr. Trwsiwch hynny cyn ychwanegu llwybro ymlaen, NAT neu DNS, neu byddwch yn treulio'r prynhawn yn dadfygio nodwedd na fu erioed yn euog.

Cadw'r sylfaen fel y cyfeiriad

Cadwch y topoleg sy'n gweithio a ffynhonnell y proffil mewn man y gallwch adfer ohono, a chadwch hwy allan o unrhyw gyfeiriadur sy'n cysoni â gwasanaeth cyhoeddus. Yna ychwanegwch un nodwedd ar y tro, gan ailadrodd y cais gwreiddiol ar ôl pob un: llwybro ymlaen, NAT, llwybr LAN, a dim ond wedyn DNS. Mae pob ychwanegiad sy'n torri'r prawf bellach yn adnabyddadwy, oherwydd ni symudodd dim arall.

Nid yw sylfaen sy'n troi eicon yn wyrdd yn dweud dim wrthych am ba ychwanegiad a achosodd y methiant nesaf. Cadwch yr un llwybr a ganiateir yn gweithio fel y cyfeiriad, ac mae pob newid diweddarach yn cael ei fesur yn ei erbyn.