A WireGuard kézfogása sikerül, de nem jön vissza válasz

A friss kézfogások jó hír, és sokkal kisebb állítás annál a mondatnál, amit az ember írni szeretne. A felek hitelesített kézfogásüzeneteket cseréltek. Az alkalmazáscsomagnak mégis el kell érnie a belső célját, és vissza kell térnie.

Ez a szakadék az egészséges vezérsík és a néma adatsík között a teljes téma itt. Ugyanazon számlálók két leolvasása megmondja, melyik oldalán áll.

A kézfogás kulcsokat bizonyít, nem kézbesítést

A WireGuard kézfogása hitelesítéssel ellátott kulcsmegállapodás. Akkor sikerül, amikor a felek el tudják érni egymást, és érvényes kulcsaik vannak. Az útválasztás, a tűzfal szabályai és maga a cél azok a kérdések, amelyeket a kézfogás soha nem tesz fel.

Így egy alagút tökéletesen felállhat, miközben minden benne lévő csomag eldobásra kerül. Egy rosszul irányított belső csomag és egy másik úton induló válasz a kliens felől ugyanúgy néz ki.

Egyetlen belső cím az egész teszt

Válasszon ki egy célt, és maradjon annál. A túloldal saját alagútcíme a legegyszerűbb eset, és a túloldal mögötti gazdagép pontosan egy ugrást ad hozzá. A kettő közötti váltogatás a változás feljegyzése nélkül olyan eredményeket ad, amelyeket senki sem tud összehasonlítani.

Utána nézze meg az útvonalat, amelyet a kliens választ. Egy konkrétabb helyi útvonal máshová küldheti a csomagot, mielőtt a WireGuardhoz egyáltalán fordulnánk, és ez mindig megtörténik, ha az otthoni LAN átfedésbe kerül a távoli tartománnyal.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Az a cím, amely a fizikai interfészre oldódik fel, már megválaszolta a kérdést. Az alagút nem dob el semmit. A csomag soha nem lépett be oda.

A számlálók bizonyítékok, nem ítélet

wg show a felek által küldött és fogadott bájtokat jelenti, és a két szám egymástól függetlenül mozog. Vegyen egy leolvasást, indítson egy engedélyezett kérést, majd ugyanabban a percben vegyen egy másikat.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Emelkedő küldés lapos fogadás mellett a megválaszolatlan kérés aláírása. Nem mondja meg, hogy a kérést szűrték-e, hogy a cél állt-e, vagy hogy a válasz más útvonalon ment el. Ez három vizsgálat egyetlen tünettel. Válassza szét őket, mielőtt bármilyen beállítást módosít.

Egy rögzített bájtszám sem sikerességi küszöb. A számlálók értékei követik a forgalmat, és egyetlen számot az egészség bizonyítékaként kezelni magabiztos ostobaságot szül.

A túloldal maga ellenőrzi a visszatérő csomagot

A távoli fél csak akkor fogad el belső csomagot, ha a forrás annak a félnek a allowedips belsejébe esik. Egy útvonal, amely a küldőnél létezik, nem elég. A hiányzó forrásbejegyzés a fogadónál csendben eldobja a visszatérő forgalmat.

A gazdagép tűzfalai ezen ellenőrzés mögött állnak. Egy továbbítási szabály, amely engedi az alagút interfészét, de a belső alhálózatot nem, elfogadja a kézfogást, és elutasítja a csomagot. A kliens oldaláról ez pontosan úgy néz ki, mint egy halott túloldal. Egy két interfésszel rendelkező gazdagép rossz forrásból is válaszolhat, és akkor a fél eldobja a választ, amelyet soha nem várt.

Tartsa tisztán a kísérletet

Egy távoli hozzáférési profil tesztelése ugyanabból az otthoni hálózatból, amelyet el kell érnie, a szándékolt úttól eltérő utat gyakorol. Lépjen át a külső hálózatra, és jegyezze fel annak helyi előtagját, hogy a két futás összehasonlítható legyen.

Egy kis sikeres csere sem zár ki minden útvonalproblémát. A nagyobb csomagok ott is elbukhatnak, ahol a kicsik átmennek, és a méretre vagy protokollra illeszkedő szűrő terhelés alatt másként viselkedhet.

Tartsa meg a kézfogást az ismerten működő szakaszként, és onnan lépjen tovább. A következő hasznos bizonyíték az, hogy hol áll meg egy belső kérés, nem egy új kulcskészlet és egy újabb találgatási kör.