Hvernig byggja á WireGuard-próf með tveimur jafningjum sem sannar eina leið

WireGuard-próf sem ber sjálfgefna leið, LAN-forskeyti, DNS og undantekningu í eldvegg getur ekki sagt þér hver þessara hluta bilaði. Minnkaðu það í tvo jafningja, eitt par af vistföngum og eina leyfða þjónustu, og bilunin hefur hvergi að fela sig. Leiðinlegi grunnurinn er greiningin. Byggðu hann fyrst; hann tekur fimmtán mínútur og sparar síðdegis sem þú hefðir annars eytt í að giska.

Það sem grunnurinn sannar er þrengra en flestir búast við. Hann sannar að tvö auðkenni séu sammála, að UDP nái hlustandi gátt og að einn leyfður ákvörðunarstaður beri beiðni. Framsending, NAT, LAN-leiðir og DNS eru aðskildir eiginleikar sem bætt er við síðar, einn í einu.

Lyklar, vistföng og eini endapunkturinn

Búðu til lyklapar á hverju kerfi og færðu aðeins opinberu helmingana á milli þeirra. wg genkey | tee privatekey | wg pubkey > publickey er skjalfesta eins línu skipunin, og hún skilur einkalykilinn eftir í skrá sem þú getur síðan varið. Veldu gönguvistföng úr bili sem kemur ekki fyrir í neinni annarri stillingu sem þú átt, til dæmis 10.99.0.1/24 og 10.99.0.2/24. Skrifaðu niður hvaða vistfang tilheyrir hvaða vél, því hver síðari prófun veltur á þeirri vörpun.

Einkalyklar ferðast aldrei. Ef próf þarf einn afritaðan á hina hliðina hefur prófið þegar farið úrskeiðis. Þegar kerfin tvö eru bak við NAT þarf að minnsta kosti annað aðgengilega UDP-gátt á meðan hitt ber Endpoint sem bendir á hana, og opinbera vistfangið og gáttin eiga heima í athugasemdunum þínum, ekki í forsendum þínum um 51820.

Gáttaframsending sem varpar annarri ytri gátt virkar vel svo lengi sem Endpoint passar við hana. Ósamræmi hér framleiðir þögn frekar en villur, þess vegna er þess virði að athuga þau á pappír áður en villuleitað er á vírnum.

Reitirnir sem tilheyra wg og þeir sem gera það ekki

Kjarnareitasettið er lítið: PrivateKey og ListenPort undir Interface, PublicKey, AllowedIPs og Endpoint undir Peer. Address og DNS tilheyra wg-quick en ekki wg sjálfu, og sá munur bítur um leið og sama stillingin flyst í annað tól.

[Interface]
PrivateKey = <peer-a-private>
Address = 10.99.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <peer-b-public>
AllowedIPs = 10.99.0.2/32
Endpoint = 203.0.113.10:51820

AllowedIPs ber tvenns konar verk samtímis. Það velur hvaða ákvörðunarstaðir fara í göngin, og það heimilar jafningjanum að nota þessi upprunavistföng við komu. Þess vegna verður spegilfærslan hinum megin að nefna gönguvistfangið þitt nákvæmlega; /32 fyrir rangan jafningja er lesið sem leiðarvandamál og hegðar sér eins og heimildarvandamál. Skjóta upphaf WireGuard sýnir sömu tveggja jafningja lögun með hinu viðtekna orðalagi ef þú vilt bera saman reitanöfn.

Að lesa handabandið í stað táknsins

Ræstu viðmótið í gegnum það sem á það og lestu síðan stöðu í stað stöðuljóss. wg show prentar nýjasta handaband hvers jafningja ásamt bætateljurum, og handaband á síðustu mínútum þýðir að lyklar, endapunktur og UDP-leið virka öll. Teljari sem hækkar aðeins í eina átt er sitt eigið svar, og það er ekki sama bilun og handaband sem verður aldrei.

Bilunin tvö gefa til kynna ólíkar rannsóknir. Algjört skortur á handabandi bendir á lyklaósamræmi, rangan Endpoint, lokaða UDP eða eldvegg sem sleppir handabandinu sjálfu. Handaband sem tekst á meðan gögn fara hvergi bendir á AllowedIPs, þjónustu sem hlustar ekki á gönguvistfangið eða eldvegg hýsils sem tekur gáttina fyrir LAN en ekki fyrir gönguviðmótið. Þetta eru ólíkir helmingar kerfisins, og grunnurinn aðgreinir þá áður en þú byrjar að breyta reglum.

Að sanna eina leyfða þjónustu, svo hina öfugu

Sendu beiðni á gönguvistfang hins jafningjans á þjónustu sem á að svara, og veldu eitthvað betra en ping. Vantar ICMP-svar getur verið síun hýsils en ekki gangabilun, svo hljótt ping sannar hvoruga áttina. TCP-tenging á gátt sem þú veist að er opin, eða beiðni sem skilar gögnum, gefur þér svar sem þú getur túlkað.

Keyrðu öfugu áttina sem sérstakt próf með eigin niðurstöðu, því áttirnar tvær hafa aðskildar eldveggs- og AllowedIPs-færslur og geta bilað óháð. Ef handabandið virkar en beiðnin ekki, er vandamálið í gagnaleiðinni en ekki í göngunum: AllowedIPs, þjónustan sem hlustar eða eldveggur hýsils. Lagaðu það áður en þú bætir við framsendingu, NAT eða DNS, annars eyðir þú síðdeginu í að villuleita eiginleika sem var aldrei sökudólgurinn.

Að halda grunninum sem viðmiði

Geymdu virka staðfræðið og uppruna sniðsins á stað þaðan sem þú getur endurheimt, og haltu þeim utan við hverja möppu sem samstillist við opinbera þjónustu. Bættu síðan við einum eiginleika í einu og endurtaktu upprunalegu beiðnina eftir hvern: framsending, NAT, LAN-leið og aðeins þá DNS. Sérhver viðbót sem brýtur prófið er nú auðþekkjanleg, því ekkert annað hreyfðist.

Grunnur sem aðeins gerir tákn grænt hefur ekkert sagt þér um hvaða viðbót olli næstu bilun. Haltu einu leyfðu leiðinni virkri sem viðmiði, og hver síðari breyting er mæld á móti henni.