WireGuard-handaband virkar, þjónustan ekki

Handabandið klárast, biðlarinn sýnir nýlegan flutningsteljara, og samt mistekst beiðni til þjónustu á sama þjóni. Þessi samsetning ruglar fólki því göngin virka sannanlega. Það sem er ekki sannað er staðbundin afhending: pakkinn náði hýsilnum, og hýsilinn verður enn að taka við honum á réttum sokki og afhenda hann ferli sem hefur leyfi til að svara. Farðu í gegnum þessi þrjú eftirlitsstig í réttri röð.

Stoppaðu við það fyrsta sem stenst ekki, og bættu ekki við reglum fyrir hin.

Handabandið sannar aðeins göngin

Handaband WireGuard setur upp lykla milli jafningja og heimilar umferð fyrir þau svið sem hver jafningi skráði. Það segir ekkert um hvaða ferli hlusta á þjóninum, og ekkert um hvort eldveggur hýsilsins taki við pakkum sem stýrt er á eitt af eigin vistföngum hans.

Einmitt síðasti munurinn er sá sem oftast gleymist: umferð til hýsilsins sjálfs er staðbundið inntak, en umferð sem fer í gegnum hýsilinn annað er framsending. Þeim er stjórnað af mismunandi eldveggskeðjum og mismunandi stillingum. Að skoða ranga keðju eyðir síðdegi og gefur teljara sem líta saklausir út.

Lestu hlustarann og leiðina

Á biðlaranum, staðfestu að gönguvistfang þjónsins sé beint inn í göngin. Á þjóninum, staðfestu að sokk sé til á vistfanginu sem biðlarinn notar, og að ferlið að baki sé það sem þú ætlaðir.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

Hlustari á 127.0.0.1 svarar aldrei beiðni sem stýrt er á 10.66.0.1, hvað sem eldveggurinn leyfir. Hlustari á almenna vistfanginu svarar, nema regla blokki hann. Sokkalistinn ræður því helmingi tilvikanna áður en nokkur regla er skoðuð. Gátt og vistfang ráða saman hvort beiðni getur lent.

Berðu saman vistfangið sem biðlarinn notar við vistfangið sem þjónninn á í raun á gönguviðmótinu. Úrelt stilling hvorum megin framleiðir beiðni sem er beint rétt til jafningja sem hefur ekki þetta vistfang.

Beittu reglum fyrir staðbundið inntak, ekki framsendingu

Ef pakkinn berst og sokkinn er til, er eftirstandandi mörk inntaksstefnan. Regla sem heimilar framsendingu heimilar ekki staðbundna afhendingu, og regla sem takmarkast við eitt viðmót passar kannski ekki við gönguviðmótsnafnið sem þú býst við.

Prófaðu með einni leyfðri gátt til ætlaðrar þjónustu í stað þess að opna hýsilinn. Athugaðu svo eigin heimild forritsins: leyfislisti, krafa um reikning eða binding við tiltekið hýsilnafn geta hafnað beiðni sem netið afhenti með góðum árangri.

Hafðu vottorðsathuganir á sínum stað. Óvænt auðkenni vottorðs er upplýsing um hvaða hýsill svaraði, ekki hindrun sem á að fara fram hjá. Að smella fram hjá henni felur eina vísbendinguna sem greinir ranga þjónustu.

Aðskildu nafns-, stærðar- og auðkennisbrest

Þjónusta sem virkar eftir vistfangi en mistekst eftir nafni er DNS-vandamál, og lagfæringin á heima í upplausnastillingunni sem send er biðlaranum, ekki í eldveggnum. Þjónusta sem svarar litlum beiðnum en stöðvast á stærri svörum bendir til pakkastærðar og MTU, sem er allt önnur rannsókn.

HTTPS-villa sem nefnir rangan hýsil þýðir venjulega að beiðnin náði annarri þjónustu, oft vegna þess að milliþjónn eða annar hlustari á þá gátt. Lestu efni vottorðsins og berðu það saman við hýsilinn sem þú vildir ná. Sá samanburður kostar ekki neitt og lýkur rannsókninni oft.

Skráðu hvaða eftirlitsstig brást: sokk, inntaksregla eða stefna forritsins. Þessi eina lína greinir nettruflun frá heimildarákvörðun. Hún kemur líka í veg fyrir að næsta manneskja opni gáttir sem voru aldrei vandamálið.