WireGuard non mostra ningún handshake recente: que comprobar primeiro

Un campo de último handshake baleiro adoita significar que a interface non completou ningún handshake desde que se levantou, o que di menos sobre a configuración do que parece. WireGuard permanece en silencio ata que un paquete necesita saír pola interface, así que un peer inactivo sen nada que enviar informa exactamente diso. Estableza se realmente se ofreceu algo antes de inspeccionar as claves.

A proba é un paquete permitido cara a un destino que o peer debería transportar. Todo o demais nesa pantalla de estado describe intención, non actividade.

Unha interface inactiva non ten nada que informar

WireGuard fai os handshakes con preguiza: o primeiro paquete que necesita o túnel activa o intercambio e a interface cala ata entón. Un peer configurado e nunca usado mostra un handshake baleiro, cero bytes recibidos e un intervalo crecente desde o último. Ese estado é san para un cliente inactivo e alarmante só se esperaba que o tráfico xa fluíse. Revise tamén os contadores de transferencia, porque separan nada-enviado de intentado-e-fallado.

Se os contadores están a cero nos dous lados, o problema está por riba do túnel. Nada chegou á interface para activar nada.

Active tráfico que o peer teña permitido transportar

Escolla un enderezo dentro dos prefixos permitidos do peer, na máquina local, e confirme que a táboa de encamiñamento o enviaría pola interface. Un destino fóra deses prefixos produce unha petición encamiñada ordinaria sen ningunha intervención de WireGuard. Use un servizo que responda rápido, como un ping ou unha conexión TCP curta, para que o intento teña un principio e un final visibles. Despois volva ler a liña do handshake en lugar de mirar a pantalla e esperar.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

A consulta de ruta importa máis que o ping. Se nomea a interface física, o paquete nunca entrou no túnel e o handshake baleiro é unha resposta de encamiñamento, non criptográfica. Repare a ruta antes de depurar o peer.

Compare o par de claves e o punto final

Unha vez que o tráfico se ofrece de verdade, a identidade é a comprobación seguinte. A clave privada local debe corresponder á clave pública que autoriza o outro lado, a clave pública remota configurada debe identificar o peer previsto e calquera clave precompartida debe coincidir nos dous extremos. Unha diferenza dun só carácter nunha clave base64 produce un peer que parece configurado e nunca completa un intercambio. Compare co rexistro de aprovisionamento en lugar de rexenerar claves, porque unha clave nova invalida todos os peers que confiaban na anterior.

O punto final necesita o mesmo escrutinio: nome de host, enderezo, porto UDP e a familia usada para chegar a el. Un enderezo obsoleto ou o porto equivocado producen silencio en lugar dunha mensaxe.

Vixíe a ruta UDP exterior

O handshake viaxa como UDP cara ao punto final, así que a ruta exterior ten que transportalo. Os comandos de abaixo comproban se existe un receptor, se a pila local emitiu o datagrama e que punto final está configurado. Execute a captura mentres activa tráfico, non antes.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Unha captura que mostra o inicio sen resposta apunta fóra da máquina, porque o extremo remoto ou non escoita, ou está filtrado, ou está mal enderezado. Unha captura que non mostra nada significa que o paquete nunca saíu, o que o devolve á ruta e a calquera marca de socket en xogo. Cando administre ambos os extremos, correlacione o intento por marca de tempo cunha captura estreita no servidor en lugar dunha xeral. Unha proba de porto TCP non demostra nada aquí, porque o protocolo é só UDP.

Cando apareza un handshake, probe unha aplicación a través do túnel, porque un intercambio completado demostra identidade e accesibilidade, non un caudal utilizábel nin un DNS correcto. Garde a saída de estado antes e despois do cambio, e a diferenza convértese na súa evidencia.