Handshake WireGuard berhasil, tetapi tidak ada balasan yang kembali

Handshake terbaru adalah kabar baik, dan klaim yang jauh lebih kecil daripada kalimat yang ingin ditulis orang. Kedua peer bertukar pesan handshake yang terautentikasi. Paket aplikasi tetap harus mencapai tujuan dalamnya dan kembali.

Jarak antara bidang kendali yang sehat dan bidang data yang senyap itulah seluruh topik di sini. Dua pembacaan dari penghitung yang sama memberi tahu Anda di sisi mana Anda berada.

Handshake membuktikan kunci, bukan pengiriman

Handshake WireGuard adalah kesepakatan kunci dengan autentikasi. Ia berhasil begitu kedua peer dapat saling menjangkau dan memegang kunci yang sah. Perutean, kebijakan firewall, dan tujuan itu sendiri adalah pertanyaan yang tidak pernah ditanyakan handshake.

Jadi terowongan bisa benar-benar terbentuk sementara setiap paket di dalamnya dibuang. Paket dalam yang salah rute dan balasan yang menempuh jalur lain terlihat sama dari sisi klien.

Satu alamat dalam adalah seluruh uji

Pilih satu tujuan dan bertahanlah padanya. Alamat terowongan milik peer seberang adalah kasus termudah, dan host di belakangnya menambah tepat satu lompatan. Berganti-ganti antara keduanya tanpa mencatat perubahannya menghasilkan data yang tidak dapat dibandingkan siapa pun.

Lalu lihat rute yang dipilih klien. Rute lokal yang lebih spesifik dapat mengirim paket ke tempat lain sebelum WireGuard sama sekali ditanyai, dan itu terjadi setiap kali LAN rumah tumpang tindih dengan rentang jarak jauh.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Alamat yang terurai ke antarmuka fisik sudah menjawab pertanyaannya. Terowongan tidak membuang apa pun. Paket itu tidak pernah masuk ke dalamnya.

Penghitung adalah bukti, bukan putusan

wg show melaporkan byte yang dikirim dan diterima per peer, dan kedua angka bergerak secara independen. Ambil satu pembacaan, lakukan satu permintaan yang diizinkan, lalu ambil pembacaan lain dalam menit yang sama.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Pengiriman yang naik sementara penerimaan datar adalah tanda tangan permintaan tanpa jawaban. Itu tidak mengatakan apakah permintaan disaring, apakah tujuan mati, atau apakah balasan keluar lewat rute lain. Itu tiga penyelidikan dengan satu gejala. Pisahkan sebelum mengubah konfigurasi apa pun.

Jumlah byte yang tetap juga bukan ambang keberhasilan. Nilai penghitung mengikuti lalu lintas, dan memperlakukan satu angka sebagai bukti kesehatan menghasilkan omong kosong yang percaya diri.

Peer seberang memeriksa sendiri paket balasan

Peer jauh hanya menerima paket dalam bila sumbernya jatuh di dalam allowedips peer itu. Rute yang ada di pengirim tidak cukup. Entri sumber yang hilang di penerima membuang lalu lintas balasan secara senyap.

Firewall host berada di belakang pemeriksaan itu. Aturan penerusan yang mengizinkan antarmuka terowongan tetapi bukan subnet dalam akan menerima handshake dan menolak paketnya. Dari sisi klien itu tampak persis seperti peer yang mati. Host dengan dua antarmuka juga bisa menjawab dari sumber yang salah, dan peer lalu membuang balasan yang tidak pernah ia duga.

Jaga eksperimen tetap jujur

Menguji profil akses jarak jauh dari jaringan rumah yang sama yang hendak dijangkau akan melatih jalur berbeda dari yang dimaksud. Pindahlah ke jaringan eksternal dan catat prefiks lokalnya, agar kedua percobaan dapat dibandingkan.

Pertukaran kecil yang berhasil juga tidak menyingkirkan semua masalah jalur. Paket yang lebih besar bisa gagal di tempat paket kecil lolos, dan penyaring yang cocok pada ukuran atau protokol bisa berperilaku berbeda di bawah beban.

Pertahankan handshake sebagai tahap yang diketahui bekerja dan majulah dari sana. Bukti berguna berikutnya adalah di mana satu permintaan dalam berhenti, bukan set kunci baru dan putaran dugaan berikutnya.