WireGuarden eskuko azken keinua ez da ageri: zer egiaztatu lehenengo

Keinu hutsak ezer bidali ez zela esan nahi dezake. Aktibatu baimendutako pakete bat, eta gero egiaztatu ibilbidea, gako-parea eta kanpoko UDP bidea.

Azken keinuko eremu hutsak normalean esan nahi du interfazeak ez duela keinurik osatu altxatu zenetik, eta horrek konfigurazioaz dirudiena baino gutxiago esaten du. WireGuard isilik geratzen da pakete batek interfazetik irten behar duen arte, beraz, bidaltzeko ezer ez duen peer inaktibo batek hain zuzen hori jakinarazten du. Egiaztatu ea benetan zerbait eskaini zen gakoak aztertu aurretik.

Testa peer-ak eraman beharko lukeen helmuga baterako baimendutako pakete bat da. Pantaila horretako gainerako guztiak asmoa deskribatzen du, ez jarduera.

Interfaze inaktiboak ez du ezer jakinarazteko

WireGuard-ek keinua alferrik egiten du: tunela behar duen lehen paketeak abiatzen du trukea, eta interfazea isilik egoten da harik eta. Konfiguratu eta inoiz erabili ez den peer batek keinu hutsa, zero byte jasotakoa eta azkenetik gero eta tarte handiagoa erakusten ditu. Egoera hori osasuntsua da bezero inaktiboarentzat, eta kezkagarria soilik trafikoa jadanik isuri zela espero bazenuen. Egiaztatu transferentzia-kontagailuak ere, horiek bereizten baitituzte ezer-bidali gabe eta saiatu-eta-huts egin.

Kontagailuak bi aldeetan zero badaude, arazoa tunelaren goialdean dago. Ezerk ez zion interfazeari ezer abiatzeko heldu.

Aktibatu peer-ak eramateko duen trafikoa

Aukeratu peer-aren baimendutako aurrizkien barneko helbide bat, makina lokalean, eta egiaztatu bideratze-taulak interfazetik bidaliko lukeela. Aurrizki horietatik kanpoko helmuga batek WireGuard-ekin inolako zerikusirik ez duen bideratutako eskaera arrunta sortzen du. Erabili azkar erantzuten duen zerbitzua, hala nola ping edo TCP konexio labur bat, saiakera horrek hasiera eta amaiera ikusgarriak izan ditzan. Gero irakurri berriro keinuaren lerroa, pantailari begira itxaron beharrean.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

Ibilbidearen kontsulta ping baino garrantzitsuagoa da. Interfaze fisikoa aipatzen badu, paketea ez zen inoiz tunelera sartu eta keinu hutsa bideratze-erantzuna da, ez kriptografikoa. Konpondu ibilbidea peer-a araztu aurretik.

Konparatu gako-parea eta amaiera-puntua

Trafikoa benetan eskaintzen denean, identitatea da hurrengo egiaztapena. Tokiko gako pribatuak beste aldeak baimendutako gako publikoari erantzun behar dio, konfiguratutako urrutiko gako publikoak nahi den peer-a identifikatu behar du, eta aurrez partekatutako gakoak bi muturretan bat etorri behar du. base64 gako batean karaktere bakarreko aldea duen peer bat konfiguratuta dirudi eta inoiz ez du trukea osatzen. Konparatu hornikuntza-erregistroarekin gakoak birsortu beharrean, gako berriak zaharraz fidatu zen peer guztia baliogabetzen baitu.

Amaiera-puntuak azterketa bera behar du: ostalari-izena, helbidea, UDP ataka eta hara iristeko erabilitako familia. Helbide zaharkituak edo ataka okerrak isiltasuna sortzen dute, mezua ez.

Begira ezazu kanpoko UDP bidea

Keinua UDP gisa bidaiatzen du amaiera-punturantz, beraz kanpoko bideak eraman behar du. Beheko komandoek egiaztatzen dute entzule bat badagoen, tokiko pila datagrama bidali zuen eta zein amaiera-puntu dagoen konfiguratuta. Exekutatu harrapaketa trafikoa aktibatzen duzun bitartean, ez aurretik.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Erantzunik gabeko hasiera erakusten duen harrapaketak makinatik kanpora seinalatzen du, urrutiko muturrak ez baitu entzuten, filtratuta dago edo gaizki helbideratuta dago. Ezer erakusten ez duen harrapaketak paketea inoiz irten ez zela esan nahi du, eta horrek ibilbidera eta jokoan dagoen socket-markara itzultzen zaitu. Bi muturrak administratzen badituzu, lotu saiakera denbora-markaren arabera zerbitzariko harrapaketa estu batekin, orokor batekin beharrean. TCP ataka-probak ez du ezer frogatzen hemen, protokoloa UDP soilik baita.

Keinu bat agertzen denean, probatu aplikazio bat tuneletik, truke osatuak identitatea eta irisgarritasuna frogatzen baititu, ez erabilgarria den abiadura edo DNS zuzena. Gorde aldaketaren aurreko eta ondorengo egoera-irteera, eta aldea zure froga bihurtuko da.

Erlazionatutako artikuluak