WireGuard ei näita viimast kätlust: mida kõigepealt kontrollida

Tühi viimase kätluse väli tähendab tavaliselt, et liides ei ole pärast käivitumist ühtegi kätlust lõpetanud, mis ütleb konfiguratsiooni kohta vähem, kui paistab. WireGuard vaikib seni, kuni pakett peab liidesest väljuma, seega tegevusetu peer, kellel pole midagi saata, teatab täpselt seda. Tehke kindlaks, kas midagi tegelikult pakuti, enne kui võtmeid uurite.

Test on lubatud pakett sihtkohta, mida peer peaks kandma. Kõik muu sellel olekuekraanil kirjeldab kavatsust, mitte tegevust.

Tegevusetul liidesel pole midagi teatada

WireGuard teeb kätlusi laisalt: esimene tunnelit vajav pakett käivitab vahetuse ja liides on seni vaikne. Peer, mis seadistati ja mida kunagi ei kasutatud, näitab tühja kätlust, null vastuvõetud baiti ja kasvavat vahet viimasest. See olek on tegevusetu kliendi jaoks terve ja murettekitav ainult siis, kui eeldasite, et liiklus on juba voolanud. Kontrollige ka edastusloendureid, sest need eristavad mitte-midagi-saadetud olekust proovitud-ja-ebaõnnestunud.

Kui loendurid on mõlemal pool nullis, on probleem tunnelist ülesvoolu. Miski ei jõudnud liidesesse midagi käivitama.

Käivitage liiklus, mida peer tohib kanda

Valige kohalikus masinas peeri lubatud eesliidete sees olev aadress ja kinnitage, et marsruutimistabel saadaks selle liidese kaudu. Väljaspool neid eesliiteid olev sihtkoht tekitab tavalise marsruuditud päringu ilma igasuguse WireGuardi osaluseta. Kasutage teenust, mis vastab kiiresti, näiteks pingi või lühikese TCP-ühenduse, et katse algus ja lõpp oleksid nähtavad. Seejärel lugege kätluse rida uuesti, selle asemel et ekraani vaadata ja oodata.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

Marsruudipäring on tähtsam kui ping. Kui see nimetab füüsilist liidest, ei sisenenud pakett kunagi tunnelisse ja tühi kätlus on marsruutimisvastus, mitte krüptograafiline. Parandage marsruut enne peeri silumist.

Võrrelge võtmepauri ja lõpp-punkti

Kui liiklust tõesti pakutakse, on identiteet järgmine kontroll. Kohalik privaatvõti peab vastama avalikule võtmele, mille teine pool volitab, seadistatud kaugavalik võti peab tuvastama kavandatud peeri ja mis tahes eeljagatud võti peab mõlemas otsas ühtima. Ühe tähemärgi erinevus base64 võtmes loob peeri, mis näeb seadistatud välja ega lõpeta kunagi vahetust. Võrrelge hankekirjega, selle asemel et võtmeid uuesti luua, sest uus võti muudab kehtetuks iga peeri, mis vana usaldas.

Lõpp-punkt vajab sama kontrolli: hostinimi, aadress, UDP-port ja perekond, mida sellele jõudmiseks kasutatakse. Aegunud aadress või vale port annab sõnumi asemel vaikuse.

Jälgige välist UDP-teed

Kätlus liigub UDP-na lõpp-punkti poole, seega peab väline tee seda kandma. Allolevad käsud kontrollivad, kas kuulaja on olemas, kas kohalik pinu saatis datagrammi ja milline lõpp-punkt on seadistatud. Käivitage püüdmine liikluse käivitamise ajal, mitte enne seda.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Püüdmine, mis näitab algatust ilma vastuseta, osutab masinast väljapoole, sest kaugots ei kuula, on filtreeritud või on valesti adresseeritud. Püüdmine, mis ei näita midagi, tähendab, et pakett ei lahkunud kunagi, mis viib teid tagasi marsruudi ja mängus oleva soketi märgise juurde. Kui haldote mõlemat otsa, seostage katse ajatempli järgi serveri kitsa püüdmisega, mitte üldisega. TCP pordi test ei tõesta siin midagi, sest protokoll on ainult UDP.

Kui kätlus ilmub, testige rakendust tunnelis, sest lõpetatud vahetus tõestab identiteeti ja kättesaadavust, mitte kasutatavat läbilaset ega õiget DNS-i. Hoidke olekuväljund enne ja pärast muudatust alles ning erinevusest saab teie tõend.