WireGuard-ի ձեռքսեղմումը հաջողվում է, բայց պատասխան չի վերադառնում

Վերջին ձեռքսեղմումները լավ լուր են և շատ ավելի փոքր պնդում, քան այն նախադասությունը, որը մարդիկ ուզում են գրել։ Կողմերը փոխանակել են նույնականացված ձեռքսեղմման հաղորդագրություններ։ Հավելվածի փաթեթը դեռ պետք է հասնի իր ներքին նպատակակետին և վերադառնա։

Առողջ կառավարման հարթության և լուռ տվյալների հարթության միջև այս ճեղքը հենց այստեղ է ամբողջ թեման։ Նույն հաշվիչների երկու ընթերցում ձեզ ասում են, թե դրա որ կողմում եք։

Ձեռքսեղմումն ապացուցում է բանալիները, ոչ առաքումը

WireGuard-ի ձեռքսեղմումը բանալիների համաձայնություն է նույնականացմամբ։ Այն հաջողվում է, հենց որ կողմերը կարողանում են հասնել միմյանց և ունեն վավեր բանալիներ։ Երթուղավորումը, firewall-ի քաղաքականությունը և նպատակակետն ինքը հարցեր, որոնք ձեռքսեղմումը երբեք չի տալիս են։

Այսպիսով թունելը կարող է կատարյալ կառուցված լինել, մինչդեռ դրա ներսում յուրաքանչյուր փաթեթ դեն է նետվում։ Սխալ երթուղավորված ներքին փաթեթը և այլ ուղի ընտրող պատասխանը հաճախորդի կողմից նույն տեսքն ունեն։

Մեկ ներքին հասցեն ամբողջ փորձարկումն է

Ընտրեք մեկ նպատակակետ և մնացեք դրա վրա։ Հակառակ կողմի սեփական թունելի հասցեն ամենահեշտ դեպքն է, և դրա հետևում գտնվող հոսթը ավելացնում է ուղիղ մեկ թռիչք։ Նրանց միջև փոխելը՝ առանց փոփոխությունը գրանցելու, տալիս է արդյունքներ, որոնք ոչ ոք չի կարող համեմատել։

Այնուհետև նայեք այն ուղուն, որն ընտրում է հաճախորդը։ Ավելի կոնկրետ տեղական ուղին կարող է փաթեթն ուղարկել այլ տեղ՝ նախքան WireGuard-ին ընդհանրապես հարցնելը, և դա տեղի է ունենում ամեն անգամ, երբ տնային LAN-ը համընկնում է հեռավոր տիրույթի հետ։

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Այն հասցեն, որը լուծվում է ֆիզիկական ինտերֆեյսի, արդեն պատասխանել է հարցին։ Թունելը ոչինչ չի նետում։ Փաթեթը երբեք չի մտել դրա մեջ։

Հաշվիչները ապացույց են, ոչ դատավճիռ

wg show հաղորդում է յուրաքանչյուր կողմի ուղարկված և ստացված բայթերը, և այդ երկու թվերը շարժվում են ինքնուրույն։ Վերցրեք ընթերցում, կատարեք մեկ թույլատրելի հարցում, ապա նույն րոպեի ընթացքում վերցրեք մեկ այլ ընթերցում։

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Ուղարկման աճը ստացման անփոփոխ ֆոնի վրա անպատասխան հարցման ստորագրությունն է։ Այն չի ասում՝ հարցումը զտվե՞լ է, նպատակակետն անջատվա՞ծ է եղել, թե՞ պատասխանը գնացել է այլ ուղիով։ Դրանք երեք հետաքննություն են՝ մեկ ախտանիշով։ Առանձնացրեք դրանք, նախքան որևէ կարգավորում փոխելը։

Բայթերի հաստատուն քանակը նույնպես հաջողության շեմ չէ։ Հաշվիչների արժեքները հետևում են երթևեկությանը, և մեկ թիվը որպես առողջության ապացույց ընդունելը վստահ անհեթեթություն է ծնում։

Հակառակ կողմն ինքն է ստուգում վերադարձվող փաթեթը

Հեռավոր կողմը ներքին փաթեթն ընդունում է միայն այն դեպքում, երբ աղբյուրը ընկնում է այդ կողմի allowedips-ի ներսում։ Ուղարկողի մոտ գոյություն ունեցող ուղին բավարար չէ։ Ստացողի մոտ աղբյուրի գրառման բացակայությունը լուռ դեն է նետում վերադարձի երթևեկությունը։

Հոսթի firewall-ները այդ ստուգման հետևում են։ Փոխանցման կանոնը, որը թույլ է տալիս թունելի ինտերֆեյսը, բայց ոչ ներքին ենթացանցը, ընդունում է ձեռքսեղմումը և մերժում փաթեթը։ Հաճախորդի կողմից դա ուղիղ մեռած կողմի տեսք ունի։ Երկու ինտերֆեյս ունեցող հոսթը կարող է նաև պատասխանել սխալ աղբյուրից, և այն ժամանակ կողմը դեն է նետում այն պատասխանը, որը երբեք չէր սպասում։

Պահեք փորձը ազնիվ

Հեռահար մուտքի պրոֆիլը նույն տնային ցանցից փորձարկելը, որին այն պետք է հասնի, կիրառում է նախատեսվածից տարբեր ուղի։ Անցեք արտաքին ցանցին և գրանցեք դրա տեղական նախածանցը, որպեսզի երկու վազքը հնարավոր լինի համեմատել։

Փոքր հաջող փոխանակումը նույնպես չի բացառում ուղու բոլոր խնդիրները։ Ավելի մեծ փաթեթները կարող են ձախողվել այնտեղ, որտեղ փոքրերն անցնում են, և չափի կամ արձանագրության վրա համընկնող զտիչը ծանրաբեռնվածության տակ կարող է այլ կերպ վարվել։

Պահեք ձեռքսեղմումը որպես հայտնի աշխատող փուլ և առաջ շարժվեք դրանից։ Հաջորդ օգտակար ապացույցն այն է, թե որտեղ է կանգնում մեկ ներքին հարցում, ոչ թե բանալիների նոր հավաքածու և գուշակության ևս մեկ փուլ։