La manpremo de WireGuard sukcesas, sed neniu respondo revenas

Lastatempaj manpremoj estas bona novaĵo kaj multe pli malgranda aserto ol la frazo, kiun oni volas skribi. La du flankoj interŝanĝis aŭtentikigitajn manpremajn mesaĝojn. Aplikaĵa pako tamen devas atingi sian internan celon kaj reveni.

Tiu breĉo inter sana rega ebeno kaj silenta data ebeno estas la tuta temo ĉi tie. Du legaĵoj de la samaj nombriloj diras al vi, sur kiu flanko de ĝi vi staras.

Manpremo pruvas ŝlosilojn, ne liveron

La manpremo de WireGuard estas ŝlosila interkonsento kun aŭtentikigo. Ĝi sukcesas tuj kiam la flankoj povas atingi unu la alian kaj havi validajn ŝlosilojn. Enkursigado, fajroŝirma politiko kaj la celo mem estas demandoj, kiujn la manpremo neniam starigas.

Do tunelo povas esti perfekte starigita dum ĉiu pako ene de ĝi estas forĵetata. Malĝuste enkursigita interna pako kaj respondo, kiu prenas alian vojon, aspektas same de la klienta flanko.

Unu interna adreso estas la tuta testo

Elektu unu celon kaj restu ĉe ĝi. La propra tunela adreso de la kontraŭa flanko estas la plej facila kazo, kaj gastiganto malantaŭ ĝi aldonas precize unu salton. Alterni inter ili sen noti la ŝanĝon produktas rezultojn, kiujn neniu povas kompari.

Poste rigardu la itineron, kiun la kliento elektas. Pli specifa loka itinero povas sendi la pakon aliloken antaŭ ol WireGuard entute estos demandita, kaj tio okazas ĉiam, kiam la hejma LAN interkovriĝas kun la fora gamo.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Adreso, kiu solviĝas al la fizika interfaco, jam respondis la demandon. La tunelo forĵetas nenion. La pako neniam eniris ĝin.

Nombriloj estas pruvoj, ne verdikto

wg show raportas bajtojn senditajn kaj ricevitajn po flanko, kaj la du nombroj moviĝas sendepende. Prenu legaĵon, faru unu permesitan peton, poste prenu alian legaĵon ene de la sama minuto.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Sendado, kiu grimpas dum ricevado restas plata, estas la subskribo de nerespondita peto. Ĝi ne diras, ĉu la peto estis filtrita, ĉu la celo estis malŝaltita, aŭ ĉu la respondo foriris per alia itinero. Tiuj estas tri enketoj kun unu simptomo. Apartigu ilin antaŭ ol ŝanĝi ajnan agordon.

Ankaŭ fiksa kvanto da bajtoj ne estas sojlo de sukceso. Valoroj de nombriloj sekvas la trafikon, kaj trakti unu nombron kiel pruvon de sano produktas memfidajn sensencaĵojn.

La kontraŭa flanko mem kontrolas la revenan pakon

La fora flanko akceptas internan pakon nur kiam la fonto falas ene de la allowedips de tiu flanko. Itinero, kiu ekzistas ĉe la sendanto, ne sufiĉas. Mankanta fonta enskribo ĉe la ricevanto silente forĵetas la revenan trafikon.

Gastigantaj fajroŝirmiloj staras malantaŭ tiu kontrolo. Plusenda regulo, kiu permesas la tunelan interfacon sed ne la internan subreton, akceptas la manpremon kaj malakceptas la pakon. De la klienta flanko tio aspektas ĝuste kiel morta kontraŭa flanko. Gastiganto kun du interfacoj povas ankaŭ respondi el la malĝusta fonto, kaj tiam la flanko forĵetas la respondon, kiun ĝi neniam atendis.

Tenu la eksperimenton honesta

Testi profilon de fora aliro el la sama hejma reto, kiun ĝi devas atingi, ekzercas alian vojon ol la intencita. Transiru al la ekstera reto kaj notu ĝian lokan prefikson, por ke la du kuradoj estu kompareblaj.

Ankaŭ malgranda sukcesa interŝanĝo ne forigas ĉiun vojan problemon. Pli grandaj pakoj povas malsukcesi tie, kie malgrandaj pasas, kaj filtrilo, kiu kongruas laŭ grando aŭ protokolo, povas konduti alie sub ŝarĝo.

Tenu la manpremon kiel la konatan funkciantan etapon kaj iru antaŭen de ĝi. La sekva utila pruvo estas, kie unu interna peto haltas, ne nova aro da ŝlosiloj kaj plia raŭndo da divenado.