Η χειραψία του WireGuard λειτουργεί, η υπηρεσία όχι

Η χειραψία ολοκληρώνεται, ο πελάτης δείχνει πρόσφατο μετρητή μεταφοράς, και όμως ένα αίτημα προς υπηρεσία στον ίδιο διακομιστή αποτυγχάνει. Ο συνδυασμός αυτός μπερδεύει τον κόσμο, γιατί το τούνελ λειτουργεί αποδεδειγμένα. Αυτό που δεν έχει αποδειχθεί είναι η τοπική παράδοση: το πακέτο έφτασε στον κεντρικό υπολογιστή, και ο κεντρικός υπολογιστής πρέπει ακόμη να το δεχτεί στον σωστό ακροδέκτη και να το δώσει σε διεργασία με άδεια να απαντήσει. Περάστε αυτά τα τρία σημεία ελέγχου με τη σειρά.

Σταματήστε στο πρώτο που δεν ισχύει, και μην προσθέσετε κανόνες για τα άλλα.

Η χειραψία αποδεικνύει μόνο το τούνελ

Η χειραψία του WireGuard εγκαθιστά κλειδιά μεταξύ ομοτίμων και εξουσιοδοτεί κίνηση για τις περιοχές που δήλωσε κάθε ομότιμος. Δεν λέει τίποτα για το ποιες διεργασίες ακούν στον διακομιστή, ούτε αν το τείχος προστασίας του κεντρικού υπολογιστή δέχεται πακέτα που απευθύνονται σε μία από τις δικές του διευθύνσεις.

Ακριβώς αυτή η τελευταία διάκριση χάνεται συχνότερα: η κίνηση προς τον ίδιο τον κεντρικό υπολογιστή είναι τοπική είσοδος, ενώ η κίνηση που περνά μέσα από αυτόν προς αλλού είναι προώθηση. Τις διαχειρίζονται διαφορετικές αλυσίδες τείχους προστασίας και διαφορετικές ρυθμίσεις. Ο έλεγχος της λάθος αλυσίδας κοστίζει ένα απόγευμα και επιστρέφει μετρητές που φαίνονται αθώοι.

Διαβάστε τον ακροατή και τη διαδρομή

Στον πελάτη, επιβεβαιώστε ότι η διεύθυνση τούνελ του διακομιστή δρομολογείται μέσα στο τούνελ. Στον διακομιστή, επιβεβαιώστε ότι υπάρχει ακροδέκτης στη διεύθυνση που χρησιμοποιεί ο πελάτης και ότι η διεργασία πίσω του είναι αυτή που σκοπεύατε.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

Ένας ακροατής στο 127.0.0.1 δεν θα απαντήσει ποτέ σε αίτημα που απευθύνεται στο 10.66.0.1, ό,τι κι αν επιτρέπει το τείχος προστασίας. Ένας ακροατής στη διεύθυνση μπαλαντέρ θα απαντήσει, εκτός αν κάποιος κανόνας τον μπλοκάρει. Η λίστα ακροδεκτών επομένως κρίνει τις μισές περιπτώσεις πριν εξεταστεί οποιοσδήποτε κανόνας. Θύρα και διεύθυνση μαζί αποφασίζουν αν ένα αίτημα μπορεί να φτάσει.

Συγκρίνετε τη διεύθυνση που χρησιμοποιεί ο πελάτης με τη διεύθυνση που πραγματικά κατέχει ο διακομιστής στη διασύνδεση του τούνελ. Μια παλιά διαμόρφωση σε οποιαδήποτε πλευρά παράγει αίτημα που δρομολογείται σωστά προς ομότιμο που δεν έχει αυτή τη διεύθυνση.

Εφαρμόστε κανόνες για τοπική είσοδο, όχι για προώθηση

Αν το πακέτο φτάσει και ο ακροδέκτης υπάρχει, το υπόλοιπο όριο είναι η πολιτική εισόδου. Κανόνας που επιτρέπει προώθηση δεν επιτρέπει τοπική παράδοση, και κανόνας περιορισμένος σε μία διασύνδεση μπορεί να μην ταιριάζει με το όνομα διασύνδεσης τούνελ που περιμένετε.

Δοκιμάστε με μία μόνο επιτρεπόμενη θύρα προς την επιθυμητή υπηρεσία αντί να ανοίξετε τον κεντρικό υπολογιστή. Έπειτα ελέγξτε την εξουσιοδότηση της ίδιας της εφαρμογής: μια λίστα επιτρεπόμενων, μια απαίτηση λογαριασμού ή μια δέσμευση σε συγκεκριμένο όνομα κεντρικού υπολογιστή μπορούν να απορρίψουν αίτημα που το δίκτυο παρέδωσε επιτυχώς.

Κρατήστε τους ελέγχους πιστοποιητικών. Μια απρόσμενη ταυτότητα πιστοποιητικού είναι πληροφορία για το ποιος κεντρικός υπολογιστής απάντησε, όχι εμπόδιο προς παράκαμψη. Το κλικ για παράκαμψη κρύβει το μοναδικό στοιχείο που αναγνωρίζει τη λάθος υπηρεσία.

Ξεχωρίστε αστοχίες ονόματος, μεγέθους και ταυτότητας

Υπηρεσία που λειτουργεί με διεύθυνση αλλά αποτυγχάνει με όνομα είναι πρόβλημα DNS, και η διόρθωση ανήκει στη διαμόρφωση του επιλυτή που στέλνεται στον πελάτη, όχι στο τείχος προστασίας. Υπηρεσία που απαντά σε μικρά αιτήματα αλλά κολλάει σε μεγαλύτερες απαντήσεις δείχνει μέγεθος πακέτου και MTU, που είναι εντελώς άλλη έρευνα.

Σφάλμα HTTPS που ονομάζει λάθος κεντρικό υπολογιστή συνήθως σημαίνει ότι το αίτημα έφτασε σε άλλη υπηρεσία, συχνά επειδή ένας διαμεσολαβητής ή άλλος ακροατής κατέχει αυτή τη θύρα. Διαβάστε το θέμα του πιστοποιητικού και συγκρίνετέ το με τον κεντρικό υπολογιστή που θέλατε να φτάσετε. Η σύγκριση δεν κοστίζει τίποτα και συχνά τελειώνει την έρευνα.

Καταγράψτε ποιο σημείο ελέγχου απέτυχε: ακροδέκτης, κανόνας εισόδου ή πολιτική εφαρμογής. Αυτή η μία γραμμή ξεχωρίζει βλάβη δικτύου από απόφαση εξουσιοδότησης. Επίσης εμποδίζει τον επόμενο να ανοίξει θύρες που ποτέ δεν ήταν το πρόβλημα.