Handshake wurket, adres fuort: trije WireGuard-tastannen
In farsk handshake bewiist dat de peer antwurde hat, net dat de ynterface syn adres hâldt of dat it folgjende pakket de bedoelde uplink nimt.
WireGuard kin tagelyk in farsk handshake en gjin adres hawwe, en dy tastân is gearhingjend, net tsjinstridich. It handshake is in barring fan de peer, it adres heart by de ynterface, en de rûte beslút by hokker uplink in pakket fuortgiet. Trije lagen, trije eigners, en elk kin mislearje wylst de oare twa sûn lykje.
Se as ien status lêze is wat in diagnoaze fan twa minuten feroaret yn in hiele middei tsjinsten opnij starte.
In handshake is in barring fan de peer, net in barren fan adressearring
It handshake fan WireGuard bewiist dat de konfigurearre peer mei in jildige kaai antwurde hat en dat de sesjekaaien aktueel binne. It seit neat oer it lokale adres op de ynterface, en neat oer oft in rûte dêr hinne wiist. In helper of netwurkbehearder tawiist it adres, wylst de protokolkonfiguraasje allinnich peers en kaaien neamt. It ferwikseljen fan dy beiden is hoe't in sûn handshake lêzen wurdt as in tunnel dy't wurket.
Dêrom kin wg show in handshake fan sekonden âld melde op in ynterface dy't net ien pakket fan in applikaasje oannimme kin.
In behearder dy't de ynterface opnij makket kin it adres falle litte sûnder de peer-konfiguraasje oan te reitsjen, en it folgjende handshake slagget daliks omdat de kaaien nea feroare binne. De logrigel oer in slagge handshake is krekt en net relevant foar de flater.
| Observation | Which layer it belongs to | Wrong conclusion it invites |
|---|---|---|
| Handshake a few seconds old | Peer and keys | The tunnel is usable for application traffic |
Address present on wg0 | Interface configuration | Traffic actually egresses through it |
Route points at wg0 | Forwarding table | The outer packet uses the intended uplink |
It adres fan de ynterface hat syn eigen eigner
In adres op it tunnelapparaat kin komme fan de Address rigel fan in helper, fan in DHCP-klant dy't op de ynterface rint, of fan in beheardaemon dy't it by ferbinen makket. Hokker it ek is, dat komponint besit it adres en sil it werombringe of net neffens syn eigen logika. It adres lêze sûnder syn eigner te neamen lit jo sûnder ferklearring wêrom't it ferdwûn is.
Twa eigners op ien ynterface is de klassike flater. In helper en in desktop-netwurkbehearder oer itselde apparaat starte soarget foar in race wêryn't de iene fuorthellet wat de oare krekt konfigurearre hat, en it einpunt bliuwt hieltyd antwurdzje.
Kies ien eigner en lit it oare ark observearje ynstee fan beheare. Dy beslissing is it wurdich om op te skriuwen, omdat it symptoom wiken letter ferskynt en liket op in tafallich adresferlies.
In rûte kiest in uplink, de ynterface net
In ynderlike rûte dy't nei wg0 wiist beslút dat it ferkear de tunnel yn giet. In aparte beslissing stjoert de fersifere bûtenste pakketten nei de peer, en op in host mei ferskate uplinks komt dy beslissing fan de trochstjoertabel en de beliedsregels. In Wi-Fi-roaming kin it bûtenste paad feroarje sûnder it ynderlike adres oan te reitsjen.
Sa binne in wurkjende tunnel en in net berikbere peer ferienichbere tastannen, en ek in krekte peer en in brutsen ynderlike rûte. De trije observaasjes moatte byinoar nommen wurde, op itselde momint, oars is de ferliking sinleas.
Fergelykje de trije tastannen yn ien gong
Trije kommando's dy't allinnich lêze beantwurdzje de trije fragen yn de folchoarder dy't de flater it fluchst isolearret. Rin se sûnder der tuskenyn wat te feroarjen.
ip address show dev wg0
ip route get 10.80.0.1
wg show wg0 latest-handshakes transferDe earste lit sjen oft de ynterface hielendal in adres hat, en de twadde lit sjen hokker apparaat in bepaald bestimming no brûke soe. De tredde meldt de tiid fan it lêste handshake en de byte-tellers, en it is de iennige fan de trije dy't de peer beskriuwt ynstee fan de lokale host.
Lês de tellers likegoed as de tiidstimpel. In handshake dat him hieltyd fernijt wylst de oerdracht flak bliuwt, betsjut dat de peer antwurdet mar dat der neat nuttich oer giet, wat wiist op routing of in ACL ynstee fan kaaien. In tiidstimpel dy't ophâldt mei foarút gean wylst in adres oanwêzich is, wiist boppen del. Beide lézingen komme fan deselde útfierrigel, en gjinien is sichtber as jo allinnich kontrolearje oft der in handshake is.
Korrizje de spesifike tastân dy't ferkeard is, en test dan de applikaasje opnij ynstee fan de tunnel. In farsk handshake is bewiis oer de peer, en bewiis oer de peer is net it bewiis dat it folgjende fersyk fan jo browser in adres, in rûte en in wurkjende uplink fine sil. De hânlieding foar wg-quick seit eksplisyt hokker fan dy dingen de helper opset en hokker by it protokol hearre.