WireGuardin kättely onnistuu, mutta vastausta ei tule takaisin

Äskettäiset kättelyt ovat hyvä uutinen ja paljon pienempi väite kuin se lause, jonka ihminen haluaa kirjoittaa. Osapuolet vaihtoivat todennettuja kättelyviestejä. Sovelluspaketin on silti päästävä sisäiseen kohteeseensa ja tultava takaisin.

Tämä kuilu terveen ohjaustason ja hiljaisen datatason välillä on koko aihe tässä. Kaksi lukemaa samoista laskureista kertoo, kummalla puolella sitä olet.

Kättely todistaa avaimet, ei toimitusta

WireGuardin kättely on avainsopimus, johon liittyy todentaminen. Se onnistuu heti, kun osapuolet tavoittavat toisensa ja niillä on kelvolliset avaimet. Reititys, palomuurikäytäntö ja itse kohde ovat kysymyksiä, joita kättely ei koskaan esitä.

Niinpä tunneli voi olla täydellisesti pystyssä, kun taas jokainen paketti sen sisällä hylätään. Väärin reititetty sisäpaketti ja toista reittiä lähtevä vastaus näyttävät asiakkaan puolelta samalta.

Yksi sisäinen osoite on koko testi

Valitse yksi kohde ja pysy siinä. Vastapuolen oma tunneliosoite on helpoin tapaus, ja vastapuolen takana oleva kone lisää täsmälleen yhden hypyn. Niiden välillä vaihteleminen ilman muutoksen kirjaamista tuottaa tuloksia, joita kukaan ei voi vertailla.

Katso sitten reittiä, jonka asiakas valitsee. Tarkempi paikallinen reitti voi lähettää paketin muualle ennen kuin WireGuardilta edes kysytään, ja niin käy aina, kun kotiverkko menee päällekkäin etäalueen kanssa.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Osoite, joka ratkeaa fyysiseksi liitännäksi, on jo vastannut kysymykseen. Tunneli ei hylkää mitään. Paketti ei koskaan mennyt siihen.

Laskurit ovat todisteita, eivät tuomio

wg show ilmoittaa osapuolittain lähetetyt ja vastaanotetut tavut, ja ne kaksi lukua liikkuvat toisistaan riippumatta. Ota lukema, tee yksi sallittu pyyntö ja ota sitten uusi lukema saman minuutin aikana.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Kasvava lähetys tasaisen vastaanoton kanssa on vastaamattoman pyynnön allekirjoitus. Se ei kerro, suodatettiinko pyyntö, oliko kohde alhaalla vai lähtikö vastaus toista reittiä. Ne ovat kolme tutkimusta, joilla on yksi oire. Erottele ne ennen kuin muutat mitään asetusta.

Kiinteä tavumäärä ei sekään ole onnistumisen kynnys. Laskurien arvot seuraavat liikennettä, ja yhden luvun pitäminen terveyden todisteena tuottaa itsevarmaa hölynpölyä.

Vastapuoli tarkistaa paluupaketin itse

Etäpuoli hyväksyy sisäpaketin vain, kun lähde osuu sen allowedips sisään. Reitti, joka on lähettäjällä, ei riitä. Puuttuva lähdemerkintä vastaanottajalla pudottaa paluuliikenteen hiljaa.

Koneen palomuurit ovat tuon tarkistuksen takana. Edelleenlähetyssääntö, joka sallii tunneliliitännän mutta ei sisäverkkoa, hyväksyy kättelyn ja hylkää paketin. Asiakkaan puolelta se näyttää täsmälleen kuolleelta vastapuolelta. Kahden liitännän kone voi myös vastata väärästä lähteestä, ja silloin vastapuoli hylkää vastauksen, jota se ei koskaan odottanut.

Pidä koe rehellisenä

Etäkäyttöprofiilin testaaminen samasta kotiverkosta, johon sen on tarkoitus päästä, harjoittaa eri polkua kuin aiottu. Siirry ulkoiseen verkkoon ja kirjaa sen paikallinen etuliite, jotta kahta ajoa voidaan verrata.

Pieni onnistunut vaihto ei sekään sulje pois kaikkia polkuongelmia. Suuremmat paketit voivat epäonnistua siellä, missä pienet menevät läpi, ja kokoon tai protokollaan täsmäävä suodatin voi käyttäytyä eri tavoin kuormituksen alla.

Pidä kättely tunnettuna toimivana vaiheena ja etene siitä. Seuraava hyödyllinen todiste on, mihin yksi sisäinen pyyntö pysähtyy, ei uusi avainjoukko ja uusi arvailukierros.