Kättely toimii, osoite kadonnut: WireGuardin kolme tilaa
Tuore kättely todistaa, että vastapuoli vastasi, ei sitä että liitäntä pitää osoitteensa tai että seuraava paketti lähtee aiottua ylälinkkiä pitkin.
WireGuardissa voi olla tuore kättely ja samaan aikaan ei osoitetta, ja tämä tila on johdonmukainen eikä ristiriitainen. Kättely on vastapuolen tapahtuma, osoite kuuluu liitännälle ja reitti päättää, mitä ylälinkkiä paketti lähtee. Kolme kerrosta, kolme omistajaa, ja jokainen voi pettää, kun kaksi muuta näyttää terveeltä.
Niiden lukeminen yhtenä tilana on se, mikä muuttaa kahden minuutin diagnoosin koko iltapäivän palveluiden uudelleenkäynnistykseksi.
Kättely on vastapuolen tapahtuma, ei osoitteiden tapahtuma
WireGuardin kättely todistaa, että määritetty vastapuoli vastasi kelvollisella avaimella ja että istuntoavaimet ovat ajan tasalla. Se ei kerro mitään liitännän paikallisesta osoitteesta eikä siitä, osoittaako mikään reitti sinne. Osoitteen antaa apuohjelma tai verkkohallinta, kun taas protokollan määritys vain nimeää vastapuolet ja avaimet. Näiden kahden sekoittaminen on se, miten terve kättely luetaan toimivana tunnelina.
Siksi wg show voi raportoida sekunteja vanhan kättelyn liitännällä, joka ei ota vastaan yhtäkään sovelluksen pakettia.
Liitännän uudelleen luova hallinta voi pudottaa osoitteen koskematta vastapuolen määritykseen, ja seuraava kättely onnistuu heti, koska avaimet eivät koskaan muuttuneet. Lokirivi onnistuneesta kättelystä on täsmällinen ja vian kannalta merkityksetön.
| Observation | Which layer it belongs to | Wrong conclusion it invites |
|---|---|---|
| Handshake a few seconds old | Peer and keys | The tunnel is usable for application traffic |
Address present on wg0 | Interface configuration | Traffic actually egresses through it |
Route points at wg0 | Forwarding table | The outer packet uses the intended uplink |
Liitännän osoitteella on oma omistajansa
Tunnelilaitteen osoite voi tulla apuohjelman Address riviltä, liitännällä toimivasta DHCP-asiakkaasta tai hallintademonista, joka luo sen yhteyden hetkellä. Mikä tahansa se on, se komponentti omistaa osoitteen ja palauttaa sen tai ei oman logiikkansa mukaan. Osoitteen lukeminen nimeämättä sen omistajaa jättää sinut ilman selitystä sille, miksi se katosi.
Kaksi omistajaa yhdellä liitännällä on klassinen vika. Apuohjelman ja työpöydän verkkohallinnan käynnistäminen saman laitteen päällä synnyttää kilpajuoksun, jossa toinen poistaa sen, minkä toinen juuri määritti, ja päätepiste vastaa koko ajan.
Valitse yksi omistaja ja anna toisen työkalun tarkkailla hallitsemisen sijaan. Se päätös kannattaa kirjata, koska oire ilmaantuu viikkoja myöhemmin ja näyttää satunnaiselta osoitteen katoamiselta.
Reitti valitsee ylälinkin, ei liitäntä
Sisäinen reitti, joka osoittaa wg0, päättää, että liikenne menee tunneliin. Erillinen päätös lähettää salatut ulommat paketit vastapuolelle, ja usean ylälinkin isännässä tämä päätös tulee edelleenlähetystaulusta ja käytäntösäännöistä. Wi-Fi-verkkovierailu voi muuttaa ulomman polun koskematta sisempään osoitteeseen.
Niinpä toimiva tunneli ja tavoittamaton vastapuoli ovat yhteensopivia tiloja, samoin kuin oikea vastapuoli ja rikkinäinen sisäinen reitti. Kolme havaintoa on otettava yhdessä, samalla hetkellä, muuten vertailu on merkityksetön.
Vertaa kolmea tilaa yhdellä kierroksella
Kolme vain luku -komentoa vastaavat kolmeen kysymykseen järjestyksessä, joka eristää vian nopeimmin. Suorita ne muuttamatta niiden välillä mitään.
ip address show dev wg0
ip route get 10.80.0.1
wg show wg0 latest-handshakes transferEnsimmäinen näyttää, onko liitännällä ylipäätään osoitetta, ja toinen näyttää, mitä laitetta tietty kohde käyttäisi juuri nyt. Kolmas raportoi viimeisen kättelyn ajan ja tavulaskurit, ja se on ainoa kolmesta, joka kuvaa vastapuolta eikä paikallista isäntää.
Lue laskurit sekä aikaleima. Kättely, joka uusiutuu jatkuvasti siirron pysyessä tasaisena, tarkoittaa, että vastapuoli vastaa mutta mitään hyödyllistä ei kulje, mikä viittaa reititykseen tai ACL:ään eikä avaimiin. Aikaleima, joka lakkaa etenemästä osoitteen ollessa olemassa, viittaa sen sijaan ylävirtaan. Molemmat luennat tulevat samalta tulostusriviltä, eikä kumpikaan näy, jos vain tarkistat, onko kättely olemassa.
Korjaa se tietty tila, joka on väärin, ja testaa sitten sovellus uudelleen, ei tunnelia. Tuore kättely on todiste vastapuolesta, eikä todiste vastapuolesta ole todiste siitä, että selaimesi seuraava pyyntö löytää osoitteen, reitin ja toimivan ylälinkin. wg-quick-käsikirja kertoo selvästi, mitkä niistä apuohjelma pystyttää ja mitkä kuuluvat protokollalle.