WireGuard-en esku-ematea ondo egiten da, baina ez da erantzunik itzultzen

Duela gutxiko esku-emateak berri ona dira, eta jendeak idatzi nahi duen esaldia baino askoz ere baieztapen apalagoa. Bi aldeek autentifikatutako esku-emate mezuak trukatu zituzten. Aplikazio-pakete batek oraindik bere barneko helmugara iritsi eta itzuli egin behar du.

Kontrol-plano osasuntsu baten eta datu-plano isil baten arteko hutsune hori da hemen gai osoa. Kontagailu berberen bi irakurketa eginda, horren zein aldean zauden esango dizute.

Esku-emateak gakoak frogatzen ditu, ez entrega

WireGuard-en esku-ematea autentifikazioa duen gako-akordioa da. Aldeek elkarrengana iritsi eta gako baliodunak izan bezain laster egiten da ondo. Bideratzea, suebakiaren politika eta helmuga bera esku-emateak inoiz egiten ez dituen galderak dira.

Beraz, tunela erabat ezarrita egon daiteke, bere barruko pakete guztiak baztertuta dauden bitartean. Gaizki bideratutako barne-pakete bat eta beste bide bat hartzen duen erantzun bat berdin ikusten dira bezeroaren aldetik.

Barneko helbide bakarra da proba osoa

Aukeratu helmuga bat eta eutsi hari. Beste aldearen beraren tunel-helbidea da kasurik errazena, eta haren atzeko ostalari batek jauzi bakarra gehitzen du. Bien artean aldatzeak, aldaketa idatzi gabe, inork alderatu ezin dituen emaitzak sortzen ditu.

Gero, begiratu bezeroak aukeratzen duen ibilbidea. Ibilbide lokal zehatzago batek paketea beste nonbait bidal dezake WireGuardi inoiz galdetu aurretik, eta hori etxeko LANak urrutiko barrutiarekin gainjartzen direnean gertatzen da.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Interfaze fisikoan ebazten den helbide batek jadanik erantzun dio galderari. Tunelak ez du ezer botatzen. Paketea ez zen inoiz sartu.

Kontagailuak frogak dira, ez epaia

Tresnak alde bakoitzeko bidalitako eta jasotako byteak erakusten ditu: wg show. Har ezazu irakurketa bat, egin baimendutako eskaera bat, eta gero har ezazu beste irakurketa bat minutu berean.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Bidalketa igotzen da jasotzea laua den bitartean, eta hori da erantzun gabeko eskaera baten sinadura. Ez du esaten eskaera iragazi zen, helmuga itzalita zegoen, edo erantzunak beste ibilbide bat hartu zuen. Hiru ikerketa dira, sintoma bakarra partekatzen dutenak. Bereizi itzazu edozein konfigurazio aldatu aurretik.

Byte-kopuru finko bat ere ez da arrakastaren atalasea. Kontagailuen balioek trafikoari jarraitzen diote, eta zenbaki bat osasunaren froga gisa hartzeak segurtasun handiko zentzugabekeria sortzen du.

Beste aldeak berak egiaztatzen du itzulera-paketea

Urrutiko aldeak barne-paketea onartzen du soilik iturria alde horren allowedips barruan sartzen denean. Igortzailean dagoen ibilbide bat ez da nahikoa. Hartzailean iturri-sarrerarik ez badago, itzulera-trafikoa isilka baztertzen da.

Ostalariaren suebakiak egiaztapen horren atzean daude. Tunel-interfazea baina ez barne-azpisarea uzten dituen birbidalketa-arau batek esku-ematea onartzen du eta paketea baztertzen du. Bezeroaren aldetik, hori hildako beste alde baten itxura zehatza da. Bi interfaze dituen ostalari batek iturri okerretik ere erantzun dezake, eta orduan beste aldeak inoiz espero ez zuen erantzuna baztertu egiten du.

Mantendu esperimentua zintzo

Urrutiko sarbideko profil bat iritsi behar duen etxeko sare beretik probatzeak asmoa zen bidetik desberdina den bidea erabiltzen du. Joan kanpoko sarera eta idatzi haren aurrizki lokala, bi exekuzioak alderatu ahal izateko.

Truke txiki arrakastatsu batek ere ez ditu bide-arazo guztiak baztertzen. Pakete handiak huts egin dezakete txikiak pasatzen diren lekuan, eta tamainaren edo protokoloaren arabera bat datorren iragazki batek modu desberdinean joka dezake kargapean.

Mantendu esku-ematea funtzionatzen duela dakizun etapa gisa eta aurrera egin hortik. Hurrengo froga erabilgarria barne-eskaera bat non gelditzen den da, ez gako-multzo berri bat eta susmoen beste erronda bat.