WireGuardi käepigistus õnnestub, aga vastust ei tule tagasi

Hiljutised käepigistused on hea uudis ja palju väiksem väide kui lause, mille inimene kirjutada tahab. Pooled vahetasid autenditud käepigistussõnumeid. Rakenduse pakett peab siiski jõudma oma sisemise sihtkohta ja tagasi tulema.

See lõhe terve juhtimistasandi ja vaikse andmetasandi vahel on kogu teema siin. Kaks samade loendurite näitu ütlevad teile, kummal pool seda te olete.

Käepigistus tõestab võtmeid, mitte kohaletoimetamist

WireGuardi käepigistus on autentimisega võtmelepe. See õnnestub niipea, kui pooled jõuavad üksteiseni ja neil on kehtivad võtmed. Marsruutimine, tulemüüri poliitika ja sihtkoht ise on küsimused, mida käepigistus kunagi ei küsi.

Nii võib tunnel olla täiesti püstitatud, samal ajal kui iga pakk selles visatakse kõrvale. Valesti marsruuditud sisemine pakk ja vastus, mis läheb teist teed, näevad kliendi poolt ühtemoodi välja.

Üks sisemine aadress on kogu test

Valige üks sihtkoht ja jääge selle juurde. Vastaspoole enda tunneli aadress on kõige lihtsam juhtum, ja vastaspoole taga olev host lisab täpselt ühe hüppe. Nende vahel vahetamine ilma muudatust märkimata annab tulemused, mida keegi ei saa võrrelda.

Seejärel vaadake marsruuti, mille klient valib. Täpsem kohalik marsruut võib paketi mujale saata enne, kui WireGuardilt üldse küsitakse, ja see juhtub alati, kui kodune LAN kattub kaugvahemikuga.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Aadress, mis laheneb füüsiliseks liideseks, on küsimusele juba vastanud. Tunnel ei viska midagi kõrvale. Pakk ei sisenenud sinna kunagi.

Loendurid on tõendid, mitte otsus

wg show teatab poole kohta saadetud ja vastuvõetud baidid ning need kaks arvu liiguvad sõltumatult. Tehke näit, sooritage üks lubatud päring ja tehke siis sama minuti jooksul uus näit.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Kasvav saatmine ühtlase vastuvõtu juures on vastuseta päringu allkiri. See ei ütle, kas päring filtreeriti, kas sihtkoht oli maas või kas vastus lahkus teist marsruuti. Need on kolm uurimist ühe sümptomiga. Eraldage need enne mis tahes seadistuse muutmist.

Ka fikseeritud baitide arv ei ole õnnestumise lävi. Loendurite väärtused järgivad liiklust, ja ühe arvu pidamine tervise tõestuseks annab enesekindlat jama.

Vastaspool kontrollib tagasipakketti ise

Kaugpool võtab sisemise paki vastu ainult siis, kui allikas jääb selle poole allowedips sisse. Marsruut, mis saatjal olemas on, ei piisa. Puuduv allika kirje vastuvõtjal viskab tagasiliikluse vaikselt kõrvale.

Hosti tulemüürid on selle kontrolli taga. Edastusreegel, mis lubab tunneli liidest, kuid mitte sisemist alamvõrku, võtab käepigistuse vastu ja lükkab paki tagasi. Kliendi poolt näeb see välja täpselt nagu surnud vastaspool. Kahe liidesega host võib vastata ka vale allika alt, ja siis heidab pool kõrvale vastuse, mida ta kunagi ei oodanud.

Hoidke katse ausana

Kaugjuurdepääsuprofiili testimine samast koduvõrgust, mida see peaks jõudma, harjutab kavatsetust erinevat teed. Liikuge välisvõrku ja kirjutage üles selle kohalik prefiks, et kahte käivitust saaks võrrelda.

Väike õnnestunud vahetus ei välista ka kõiki teeprobleeme. Suuremad pakid võivad ebaõnnestuda seal, kus väikesed läbi lähevad, ja suuruse või protokolli järgi sobiv filter võib koormuse all käituda teisiti.

Hoidke käepigistust teadaolevalt töötava etapina ja liikuge sealt edasi. Järgmine kasulik tõend on see, kus üks sisemine päring peatub, mitte uus võtmete komplekt ja veel üks arvamiste ring.