Oibríonn handshake WireGuard ach níl aon idirlíon: lean an paicéad
Ní chruthaíonn an handshake ach eochracha agus inrochtaineacht. Lean paicéad amháin ó AllowedIPs tríd an seoladh ar aghaidh, an NAT agus an bealach ar ais chun a fheiceáil cá stopann sé.
Tá an tollán suas, tuairiscíonn wg show handshake gairid, is féidir leat ping a dhéanamh ar sheoladh tolláin an fhreastalaí, agus ní fhreagraíonn aon rud níos faide anonn. Is é an instinct na heochracha a athghiniúint nó an chumraíocht a roinnt arís. Athraíonn sé sin go díreach an chuid den chonair atá cruthaithe cheana féin go n-oibríonn sí.
Deir handshake críochnaithe go n-aontaíonn an dá phiaraí ar na heochracha, go sroicheann UDP an pointe deiridh, agus go nglacann an ródú cripte leis an bpaicéad. Ní deir sé aon rud faoi cé acu an féidir leis an bpaicéad an freastalaí a fhágáil ina dhiaidh sin.
Mar sin lean paicéad amháin in ionad buille faoi thuairim a thabhairt. Tá ceithre áit inar féidir leis bás a fháil, agus fágann gach ceann rian difriúil.
Cad a chruthaíonn an handshake i ndáiríre
Is prótacal UDP é WireGuard a bhunaíonn seisiún le handshake Noise agus ansin criptíonn sé paicéid do phiara. Nuair a liostaíonn wg show handshake cúpla soicind d’aois agus cuntar aistrithe atá ag ardú, tá an pointe deiridh, na heochracha agus eochair phoiblí an phiara go léir ceart.
Is é nach gcruthaíonn sé ná go seolann do chliant trácht i dtreo an idirlín isteach sa chomhéadan ar chor ar bith, go bhfuil an freastalaí sásta é a sheoladh ar aghaidh, nó go bhfaigheann freagra a bhealach ar ais. Cinntí ródaithe eithne agus balla dóiteáin iad siúd, agus déantar iad lasmuigh den tollán.
Sin é an fáth a bhfuil ping ar sheoladh tolláin an fhreastalaí chomh míthreorach sin mar thástáil. Tá an paicéad sin dírithe ar an bhfreastalaí féin, mar sin críochnaíonn sé go háitiúil. Ní theastaíonn seoladh ar aghaidh uaidh riamh, ní theastaíonn aistriú uaidh riamh agus ní theastaíonn bealach ar ais ón idirlíon uaidh riamh.
Is cinneadh ródaithe é AllowedIPs
Ar an gcliaint, déanann AllowedIPs dhá phost. Is é an tábla ródaithe eochrach cripte é a shocraíonn cé na seoltaí cinn scríbe a sheoltar isteach i dtollán an phiara seo, agus is é liosta na seoltaí foinse a nglacfaidh an piara uait é. Mura liostaíonn cumraíocht an chliaint ach 10.8.0.0/24, ní thagann cinn scríbe poiblí isteach sa chomhéadan riamh agus iompraíonn do ghnáthbbealach réamhshocraithe iad lasmuigh den tollán. Ansin oibríonn an tollán go foirfe agus ní dhéanann sé aon rud den mhéid a bhí uait.
Féach ar an méid a shuiteáil an cliant i ndáiríre in ionad an méid a deir an comhad cumraíochta:
wg show wg0 allowed-ipsip route get 1.1.1.1
Is é an dara ordú an ceann cinntitheach. Má ainmníonn an freagra do chomhéadan fisiceach agus an gnáthgheata, níl an paicéad á thollánú agus ní shocróidh aon athrú ar thaobh an fhreastalaí é. Cuir 0.0.0.0/0 le haghaidh IPv4 agus ::/0 le haghaidh IPv6 leis ar leithligh; fágann riail a ghlacann gach rud do theaghlach amháin an ceann eile ar a chonair bhunaidh, agus is cúis choitianta é sin le tollán IPv4 a oibríonn agus cuardach IPv6 atá sáinnithe.
Cá mbáitear an paicéad ar an ngeata
Má tá an bealach ceart agus an paicéad fós ag dul aon áit, sroicheann sé an freastalaí agus stopann ann. Clúdaíonn ceithre sheiceáil formhór na ngeataí.
Seoladh ar aghaidh. Is é sysctl net.ipv4.ip_forward a thugann 0 ar ais an freagra clasaiceach, agus tá go leor dáiltí fós ar 0 mar réamhshocrú. Caithfidh sé a bheith 1, agus caithfear é a shocrú go buan i gcomhad sysctl seachas le hordú a imíonn ar atosú. Is lasc ar leith é seoladh ar aghaidh IPv6.
An beartas scagtha. Caithfidh slabhra FORWARD le beartas drop réamhshocraithe trácht an tolláin amach agus ligeann sé trácht chuig an óstríomhaire féin isteach, rud a fhreagraíonn go beacht don tsíomptóm. Léigh an tsraith rialacha bheo, ní comhad sábháilte: nft list ruleset nó iptables -S.
Aistriú nó ródú. Teastaíonn ó chliaint a úsáideann seoltaí tolláin phríobháideacha buan-NAT ar chomhéadan eisigh an fhreastalaí, nó réimír ródaithe a bhfuil a fhios ag an líonra uachtarach conas í a thabhairt ar ais. Leanann an rogha idir an dá rud an plean seoltaí. Tá MASQUERADE a chur le líonra a ródaíonn do réimír ar ais cheana féin neamhurchóideach ach gan phointe, agus má fhágtar ar lár é san áit nach bhfuil aon ród ann, fágfar freagraí dírithe ar raon príobháideach nach féidir a ródú.
An bealach ar ais. I ndearaí ródaithe, teastaíonn bealach ón ródóir uachtarach a dhíríonn ar do fhreastalaí. Is féidir le líonra an tsoláthraí é a bhlocáil freisin: cuireann roinnt scamall seiceáil foinse agus cinn scríbe ar siúl ar an ásc, a scaoileann go ciúin paicéid nach é seoladh an áisc féin a bhfoinse, go dtí go ndíghníomhófar an tseiceáil sin.
Teipeann DNS ar bhealach difriúil ó ródú
Is dhá theip ar leithligh iad paicéad chuig seoladh aitheanta agus cuardach ainm, agus cuireann na teachtaireachtaí earráide míthreoir ort i dtreonna contrártha. Má oibríonn ping 1.1.1.1 agus mura féidir le brabhsálaí aon rud a lódáil, tá an bealach ceart agus níl réiteach na n-ainmneacha. Má theipeann ar an ping féin, tá DNS neamhábhartha agus tá tú ar ais ag an roinn roimhe seo.
Is féidir le wg-quick réiteoir a shocrú ón líne DNS = sa chumraíocht, agus tá a iompar féin ag systemd-resolved in aghaidh an naisc. Déanfaidh VPN a fhorscríobhann an réiteoir le seoladh nach féidir a shroicheadh ach taobh istigh den tollán gach cuardach a theip i bpointe an lae a dtiteann an tollán, rud a fhágann cuma air go bhfuil an tollán ag briseadh an idirlín.
| Symptom | Layer to inspect |
|---|---|
| Tunnel address pings, nothing else does | Client route, then gateway forwarding |
| Public IP pings, hostnames fail | Resolver selection and reachability |
| Handshake completes, no reply ever | FORWARD policy or missing NAT on the server |
| Small requests work, large transfers stall | MTU and TCP MSS clamping |
Ord a tháirgeann fianaise
Rith an tseiceáil ar thaobh an chliaint ar dtús, mar is ordú amháin é agus cuireann sé leath na bhféidearthachtaí as an áireamh. Ansin dearbhaigh an bhfuil an freastalaí ceaptha le bheith ina bhealach amach chuig an idirlíon ar chor ar bith; níl geata a tógadh le haghaidh rochtana príobháidí briste nuair a theipeann ar chinn scríbe poiblí.
Ar an bhfreastalaí, breathnaigh ar an gcomhéadan agus tú ag seoladh ping ón gcliant: ba cheart do tcpdump -ni wg0 icmp an t-iarratas a thaispeáint, agus ba cheart do tcpdump -ni eth0 icmp a thaispeáint go bhfuil sé ag imeacht, aistrithe nó ná aistrithe. Má thagann sé chun solais ar an gcéad cheann agus riamh ar an dara ceann, tá an stad áitiúil don fhreastalaí. Má imíonn sé agus mura dtagann aon fhreagra ar ais, tá an fhadhb níos faide suas, agus is comhrá eile é sin.
Ar deireadh, déan cinnte go maireann an deisitheoir atosú. Baineann seoladh ar aghaidh le comhad sysctl, baineann rialacha an bhalla dóiteáin leis an tseirbhís a lódálann iad, agus baineann bealaí an chliaint leis an gcumraíocht a ardaíonn an comhéadan seachas le sliogán a dhéanfaidh tú dearmad air. Athcheangail, déan an dá thástáil chéanna arís agus dearbhaigh go mbogann na cuntair.