Η χειραψία του WireGuard πετυχαίνει, αλλά δεν επιστρέφει απάντηση

Οι πρόσφατες χειραψίες είναι καλά νέα και ένας πολύ μικρότερος ισχυρισμός από την πρόταση που θέλει να γράψει κανείς. Οι δύο πλευρές αντάλλαξαν πιστοποιημένα μηνύματα χειραψίας. Ένα πακέτο εφαρμογής πρέπει ακόμη να φτάσει στον εσωτερικό του προορισμό και να επιστρέψει.

Αυτό το χάσμα ανάμεσα σε ένα υγιές επίπεδο ελέγχου και ένα βουβό επίπεδο δεδομένων είναι όλο το θέμα εδώ. Δύο αναγνώσεις των ίδιων μετρητών σας λένε σε ποια πλευρά του βρίσκεστε.

Η χειραψία αποδεικνύει κλειδιά, όχι παράδοση

Η χειραψία του WireGuard είναι μια συμφωνία κλειδιών με πιστοποίηση. Πετυχαίνει μόλις οι πλευρές μπορούν να φτάσουν η μία την άλλη και έχουν έγκυρα κλειδιά. Η δρομολόγηση, η πολιτική του τείχους προστασίας και ο ίδιος ο προορισμός είναι ερωτήματα που η χειραψία δεν θέτει ποτέ.

Έτσι μια σήραγγα μπορεί να είναι απόλυτα εγκατεστημένη ενώ κάθε πακέτο μέσα της απορρίπτεται. Ένα λανθασμένα δρομολογημένο εσωτερικό πακέτο και μια απάντηση που παίρνει άλλο δρόμο φαίνονται ίδια από την πλευρά του πελάτη.

Μία εσωτερική διεύθυνση είναι όλο το τεστ

Διαλέξτε έναν προορισμό και μείνετε σε αυτόν. Η διεύθυνση σήραγγας της ίδιας της απέναντι πλευράς είναι η ευκολότερη περίπτωση, και ένας υπολογιστής πίσω από αυτήν προσθέτει ακριβώς ένα άλμα. Η εναλλαγή ανάμεσά τους χωρίς καταγραφή της αλλαγής παράγει αποτελέσματα που κανείς δεν μπορεί να συγκρίνει.

Έπειτα κοιτάξτε τη διαδρομή που διαλέγει ο πελάτης. Μια πιο συγκεκριμένη τοπική διαδρομή μπορεί να στείλει το πακέτο αλλού πριν ερωτηθεί καθόλου το WireGuard, και αυτό συμβαίνει όποτε το οικιακό LAN επικαλύπτεται με το απομακρυσμένο εύρος.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Μια διεύθυνση που επιλύεται στη φυσική διεπαφή έχει ήδη απαντήσει στο ερώτημα. Η σήραγγα δεν απορρίπτει τίποτα. Το πακέτο δεν μπήκε ποτέ σε αυτήν.

Οι μετρητές είναι αποδείξεις, όχι ετυμηγορία

Το wg show αναφέρει bytes που στάλθηκαν και ελήφθησαν ανά πλευρά, και οι δύο αριθμοί κινούνται ανεξάρτητα. Πάρτε μια μέτρηση, κάντε ένα επιτρεπόμενο αίτημα και μετά πάρτε άλλη μέτρηση μέσα στο ίδιο λεπτό.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Η άνοδος της αποστολής με επίπεδη λήψη είναι η υπογραφή ενός αναπάντητου αιτήματος. Δεν λέει αν το αίτημα φιλτραρίστηκε, αν ο προορισμός ήταν κάτω ή αν η απάντηση έφυγε από άλλη διαδρομή. Αυτές είναι τρεις έρευνες που μοιράζονται ένα σύμπτωμα. Χωρίστε τις πριν αλλάξετε οποιαδήποτε ρύθμιση.

Ούτε ένας σταθερός αριθμός bytes είναι κατώφλι επιτυχίας. Οι τιμές των μετρητών ακολουθούν την κίνηση, και το να θεωρεί κανείς έναν αριθμό απόδειξη υγείας παράγει σίγουρες ανοησίες.

Η απέναντι πλευρά ελέγχει η ίδια το πακέτο επιστροφής

Η απομακρυσμένη πλευρά δέχεται ένα εσωτερικό πακέτο μόνο όταν η πηγή πέφτει μέσα στο allowedips αυτής της πλευράς. Μια διαδρομή που υπάρχει στον αποστολέα δεν αρκεί. Μια καταχώριση πηγής που λείπει στον παραλήπτη απορρίπτει σιωπηλά την κίνηση επιστροφής.

Τα τείχη προστασίας του υπολογιστή βρίσκονται πίσω από αυτόν τον έλεγχο. Ένας κανόνας προώθησης που επιτρέπει τη διεπαφή της σήραγγας αλλά όχι το εσωτερικό υποδίκτυο δέχεται τη χειραψία και απορρίπτει το πακέτο. Από την πλευρά του πελάτη αυτό μοιάζει ακριβώς με νεκρή απέναντι πλευρά. Ένας υπολογιστής με δύο διεπαφές μπορεί επίσης να απαντήσει από λάθος πηγή, και τότε η απέναντι πλευρά πετά την απάντηση που δεν περίμενε ποτέ.

Κρατήστε το πείραμα έντιμο

Το να δοκιμάζετε ένα προφίλ απομακρυσμένης πρόσβασης από το ίδιο οικιακό δίκτυο που προορίζεται να φτάσει ασκεί άλλη διαδρομή από την προβλεπόμενη. Μετακινηθείτε στο εξωτερικό δίκτυο και καταγράψτε το τοπικό του πρόθεμα, ώστε να συγκριθούν οι δύο εκτελέσεις.

Ούτε μια μικρή επιτυχημένη ανταλλαγή αποκλείει κάθε πρόβλημα διαδρομής. Μεγαλύτερα πακέτα μπορούν να αποτύχουν εκεί όπου περνούν τα μικρά, και ένα φίλτρο που ταιριάζει σε μέγεθος ή πρωτόκολλο μπορεί να συμπεριφερθεί διαφορετικά υπό φορτίο.

Κρατήστε τη χειραψία ως το γνωστό στάδιο που λειτουργεί και προχωρήστε από εκεί. Η επόμενη χρήσιμη απόδειξη είναι πού σταματά ένα εσωτερικό αίτημα, όχι ένα νέο σύνολο κλειδιών και άλλος ένας γύρος μαντεψιάς.