Mae ysgydwad llaw WireGuard yn gweithio, nid y gwasanaeth

Mae'r ysgydwad llaw yn cwblhau, mae'r cleient yn dangos cyfrifydd trosglwyddo diweddar, ac eto mae cais i wasanaeth ar yr un gweinydd yn methu. Mae'r cyfuniad hwnnw'n drysu pobl oherwydd bod y twnnel yn amlwg yn gweithio. Yr hyn na chafodd ei brofi yw dosbarthiad lleol: cyrhaeddodd y pecyn y gwesteiwr, ac mae'n rhaid i'r gwesteiwr ei dderbyn ar y soced iawn a'i drosglwyddo i broses sydd â chaniatâd i ateb. Ewch drwy'r tri phwynt gwirio hynny yn eu tro.

Stopiwch at yr un cyntaf nad yw'n dal, a pheidiwch ag ychwanegu rheolau ar gyfer y lleill.

Mae'r ysgydwad llaw yn profi'r twnnel yn unig

Mae ysgydwad llaw WireGuard yn sefydlu allweddi rhwng cyfoedion ac yn awdurdodi traffig ar gyfer yr ystodau a restrwyd gan bob cymar. Nid yw'n dweud dim am ba brosesau sy'n gwrando ar y gweinydd, nac am ba un a yw mur cadarn y gwesteiwr yn derbyn pecynnau a gyfeiriwyd at un o'i gyfeiriadau ei hun.

Y gwahaniaeth olaf hwnnw sy'n cael ei golli amlaf: mae traffig i'r gwesteiwr ei hun yn fewnbwn lleol, tra bod traffig sy'n mynd trwy'r gwesteiwr i rywle arall yn anfon ymlaen. Mae cadwyni mur cadarn gwahanol a gosodiadau gwahanol yn eu trin. Mae gwirio'r gadwyn anghywir yn gwastraffu prynhawn ac yn dychwelyd cyfrifwyr sy'n edrych yn ddiniwed.

Darllenwch y gwrandawr a'r llwybr

Ar y cleient, cadarnhewch fod cyfeiriad twnnel y gweinydd yn cael ei lwybrlannu i'r twnnel. Ar y gweinydd, cadarnhewch fod soced yn bodoli ar y cyfeiriad y mae'r cleient yn ei ddefnyddio, a bod y broses y tu ôl iddo yr un a fwriadwyd gennych.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

Ni fydd gwrandawr ar 127.0.0.1 byth yn ateb cais a gyfeiriwyd at 10.66.0.1, beth bynnag a ganiateir gan y mur cadarn. Bydd gwrandawr ar y cyfeiriad gwyllt yn ateb, oni bai bod rheol yn ei rwystro. Felly mae'r rhestr soced yn setlo hanner yr achosion cyn i unrhyw reol gael ei harchwilio. Mae porth a chyfeiriad gyda'i gilydd yn penderfynu a all cais gyrraedd.

Cymharwch y cyfeiriad y mae'r cleient yn ei ddefnyddio â'r cyfeiriad sydd gan y gweinydd mewn gwirionedd ar ryngwyneb y twnnel. Mae ffurfweddiad hen ar y naill ochr neu'r llall yn cynhyrchu cais sydd wedi'i lwybrlannu'n gywir at gymar nad oes ganddo'r cyfeiriad hwnnw.

Gweithredwch reolau ar gyfer mewnbwn lleol, nid anfon ymlaen

Os yw'r pecyn yn cyrraedd ac mae'r soced yn bodoli, y ffin sy'n weddill yw'r polisi mewnbwn. Nid yw rheol sy'n caniatáu anfon ymlaen yn caniatáu dosbarthiad lleol, ac efallai na fydd rheol sydd wedi'i chyfyngu i un rhyngwyneb yn cyfateb i enw rhyngwyneb y twnnel yr ydych yn ei ddisgwyl.

Profwch gydag un porth a ganiateir i'r gwasanaeth a fwriadwyd yn lle agor y gwesteiwr. Yna gwiriwch awdurdodiad yr ap ei hun: gall rhestr caniatáu, gofyniad cyfrif neu rwymo i enw gwesteiwr penodol wrthod cais a ddosbarthwyd yn llwyddiannus gan y rhwydwaith.

Cadwch wiriadau tystysgrif yn eu lle. Mae hunaniaeth dystysgrif annisgwyl yn wybodaeth am ba westeiwr a atebodd, nid yn rhwystr i'w osgoi. Mae clicio trwyddi'n cuddio'r un cliw sy'n nodi'r gwasanaeth anghywir.

Gwahanwch fethiannau enw, maint a hunaniaeth

Mae gwasanaeth sy'n gweithio yn ôl cyfeiriad ond yn methu yn ôl enw yn broblem DNS, ac mae'r atgyweiriad yn perthyn i ffurfweddiad y datryswr a anfonir at y cleient, nid i'r mur cadarn. Mae gwasanaeth sy'n ateb ceisiadau bach ond yn tagu ar ymatebion mwy yn awgrymu maint y pecyn a'r MTU, sef ymchwiliad hollol wahanol.

Mae gwall HTTPS sy'n enwi'r gwesteiwr anghywir fel arfer yn golygu bod y cais wedi cyrraedd gwasanaeth arall, yn aml oherwydd bod dirprwy neu wrandawr arall yn berchen ar y porth hwnnw. Darllenwch bwnc y dystysgrif a'i gymharu â'r gwesteiwr y gwnaethoch chi anelu ato. Nid yw'r gymhariaeth honno'n costio dim ac mae'n aml yn dod â'r ymchwiliad i ben.

Cofnodwch ba bwynt gwirio a fethodd: soced, rheol fewnbwn neu bolisi'r ap. Mae'r un llinell honno'n gwahaniaethu nam rhwydwaith oddi wrth benderfyniad awdurdodi. Mae hefyd yn rhwystro'r person nesaf rhag agor pyrth nad oeddent erioed yn broblem.