A WireGuard adatot küld, de semmit nem kap vissza: melyik oldal?

Azok a küldési számlálók, amelyek nőnek, miközben a fogadási számláló nullán marad, irányt írnak le, nem diagnózist. Ugyanez az érték jelenik meg akkor, amikor a partner soha nem fejezte be a kézfogást, amikor a cél a rossz partnert választotta, amikor a távoli oldalon nincs visszavezető útvonal, és amikor egy szűrő a hazafelé tartó választ eldobja. Mindegyiket más helyen kell megjavítani.

Az összehasonlítás, amely lerövidíti a munkát, az alagutat soha el nem hagyó kérés és a soha vissza nem érkező válasz között van. Egyetlen rögzítés a megfelelő interfészen dönt közöttük.

A számlálók mennyiséget írnak le, nem a hiba irányát

A WireGuard számlálói rögzítik, mit adott át az interfész a partnernek, és mit kapott tőle. Nem mondják meg, melyik cél, melyik partner vagy egy csere melyik fele hibázott. A háttérforgalom még kevésbé beszédessé teszi az összegeket, mert egyes bájtok életben tartó üzenetek vagy nem kapcsolódó folyamok lehetnek. Olvassa őket annak jelzéseként, hogy az interfész aktív, majd hagyja abba a bizonyítékként való kezelésüket.

Az első hasznos tény, hogy a kézfogás aktuális-e. Nélküle semmit nem titkosítottak ehhez a partnerhez, és a fogadási számlálónak nincs oka mozdulni.

Partner választás vagy a válasz útja: két magyarázat

Az első magyarázat, hogy a csomag soha nem érte el a szándékolt partnert, mert az útvonal máshová mutatott, vagy a partner engedélyezett előtagjai nem fedték le a célt. A második, hogy a csomag megérkezett, és a válasz nem tudott visszatérni, ami a távoli vég útválasztási problémája. A táblázat aszerint választja szét őket, hogy mit figyelne meg az egyes pontokon.

Olvassa a táblázatot felülről. A hiányzó kézfogás a kulcsokhoz, a végpontokhoz és a külső útvonalhoz küldi, mert még nincs más, amit vizsgálhatna. Az aktuális kézfogás, amikor a kérés látható a szerveren, a problémát a visszaútra tereli, ahol a cél saját útválasztási táblázata dönt. Az a kérés, amely soha nem jelenik meg a szerveren, kiválasztási probléma, és a két partner engedélyezett előtagjai az elsők, amiket össze kell hasonlítani.

Ennek a négy sornak kettője a kliensen, kettője a szerveren javítandó. Annak ismerete, hogy melyik párban van, a munka nagy része.

Hol tűnnek el a válaszok

A válasz elhagyja a célt, eléri a szerver alagút-interfészét, és a partnerhez titkosítják, amelynek engedélyezett címei megegyeznek a kliens belső címével. Ha ez az egyezés meghiúsul, a választ csendben elvetik, ami a kliens oldaláról pontosan hálózati hibának látszik. Ha a válasz titkosított, és a kliens saját szűrője elutasítja, a tünet ismét ugyanaz. Mindkét esetben a rögzítés kell, nem a számláló.

Ennek a hibának a legerősebb változata egy olyan szerver, amely továbbítja a csomagokat a kliensnek, de nincs visszavezető útvonala a kliens belső tartományába. Elfogadja a kérést, a választ az alapértelmezett átjárója felé küldi, és az alagút soha nem látja. A szerveren hozzáadott széles fordítási szabály elrejti ezt a hibát ahelyett, hogy megjavítaná az útvonalat.

Teszteljen egy célt végponttól végpontig

Válasszon egyetlen célt a partner tartományán belül, és tesztelje, miközben a kézfogás igazolhatóan aktuális. Az alábbi parancsok a partner állapotát, a választott útvonalat és a csere mindkét oldalát olvassák. A rögzítést azon az interfészen futtassa, amelyet a titkosított csomagok ténylegesen használnak.

wg show wg0 latest-handshakes
wg show wg0 transfer
ip route get 10.60.9.5
sudo tcpdump -ni wg0 host 10.60.9.5

Az a rögzítés, amely megmutatja a kérést az alagút-interfészen, de semmi nem jön vissza, a szerver oldaláról adott válasz, és a cél útválasztási táblázata a következő hely, ahol érdemes megnézni. Ha egyáltalán semmi meg nem jelenik, a csomag más utat vett, tehát a helyi útvonal a gyanús. Az a csere, amely mindkét rögzítésben látható, de az alkalmazásban nincs előrelépés, a kérdést a csomagméretre vagy olyan szűrőre tereli, amelyet az interfész statisztikái soha nem mutatnak. A tesztben tartson egy célt és egy klienst, mert a második változó a bizonyítékot ismét benyomássá alakítja.

Ha a nevek meghiúsulnak, miközben egy engedélyezett cím működik, a válasz a DNS-ben van, nem az alagútban. Ha csak a nagy átvitel akad meg, vizsgálja a csomagméretet külön.