WireGuard virkar aðeins eftir að netþjónninn sendir: þekking á endapunkti

Göngin virðast aðeins virka eftir að netþjónninn sendir eitthvað fyrst. Byrjið frá biðlarans og ekkert gerist, bíðið nokkrar sekúndur, reynið aftur og það tekst. Venjulega greiningin er brotið NAT, og venjulega greiningin er röng. Það sem breyttist er að annar aðilinn lærði hvar hinn býr.

Þekking á endapunkti, ekki aðgengi

WireGuard-aðili hefur ekki handaband fyrr en hann veit hvert á að senda það. Stillingarnar veita það sem endapunkt úr vistfangi og porti, og keyrandi staðan fylgist með endapunktinum sem hann trúir á núna.

wg show prentar báðar hliðar þeirrar myndar, og aðili án endapunkts í úttakinu getur ekki byrjað neitt, hversu réttur sem almenningslykillinn og leyfðu forskeytin eru. Berið saman sýn biðlarans við sýn netþjónsins áður en þið breytið einhverri reglu, því þau eru oft ósammála um hver veit hvað.

Hvernig aðili lærir endapunkt

WireGuard er viljandi hljóðlát. Þegar rétt auðkennd paki kemur frá vistfangi sem aðilinn átti ekki von á, uppfærir útfærslan endapunkt þess aðila yfir í nýju upptökuna, og þannig virkar reiki á fartölvu sem skiptir um net. Þessi hegðun útskýrir stefnufylgni: ef netþjónninn sendir fyrst og pakið hans nær til biðlarans, lærir biðlarinn núverandi vistfang netþjónsins og getur svarað. Þangað til hefur hann hvergi að senda. Aðferðin er auðkennd reiki en ekki stuttleið trausts við fyrstu notkun, því pakið varð að vera gilt áður en endapunkturinn hreyfðist.

Tækjaskjöl fyrir wg lýsa þeirri uppfærslu, og það er þess virði að lesa einu sinni ef þið ætlið að hanna í kringum hana.

Stöðuþýðing bætir við eigin stefnu

Þar sem UDP fer í gegnum þýðandi gátt, býr gáttin til stöðu fyrir fyrstu pakann sem hún sér. RFC 4787 lýsir þeirri hegðun og þeim tímamörkum sem að lokum fjarlægja vörpunina. Aðgerðalaus vörpun rennur út, og þá hendir gáttin inngöngupaka frá fjarlægu hliðinni áður en hann nær hýsilnum. Göng sem virkuðu allan morguninn hætta að svara síðdegis einmitt af þessari ástæðu.

Þetta er önnur og óháð aðferð sem framleiðir sama stefnutákn. Bæði þekking á endapunkti og þýðingarstaða verða að vera rétt, og að laga annað lagar ekki hitt.

Stilltu stefnuna sem þú vilt í raun

Fyrir biðlara sem verður að hefja tenginguna, setjið endapunkt netþjónsins í aðilahlutann hjá biðlaranum og látið hann vera þar. Að treysta því að netþjónninn sendi fyrst er að treysta tilviljun í röð umferðar sem mun breytast í hljóðlátu neti. Stillingin ætti að tilgreina fyrirhugaða stefnu, ekki uppgötva hana.

Fyrir aðila á bak við þýðingu sem verður að vera áfram aðgengilegur, virkjið viðvarandi keepalive á þeirri hlið. Keepalive á 25 sekúndna fresti er venjulegt upphafsgildi, og tilgangur þess er að halda vörpuninni opinni frekar en að prófa göngin. Veljið eina hlið til að bera það, því að virkja það á báðum hliðum tvöfaldar umferðina og hávaðann í annálum án þess að bæta niðurstöðuna.

Berið saman stöðu fyrir og eftir kveikinn

Takið báðar sýnirnar á þeirri stundu sem það bregst, og svo aftur eftir að netþjónninn sendir. Fyrsta skipunin sýnir endapunkta og aldur handar bands. Sú seinni sýnir hvort þýðingarfærsla sé til fyrir portið. Takan sýnir hvaða stefna fór í raun yfir vírinn, og leiðarprófið staðfestir að biðlarinn sendir ekki þá umferð eitthvað allt annað.

wg show
conntrack -L -p udp 2>/dev/null | grep 51820
tcpdump -ni any -c 20 'udp port 51820'
ip route get 198.51.100.7

Skráið endapunktardálkinn og þýðingarfærsluna saman. Aðili án endapunkts og gátt án vörpunar eru tveir mismunandi gallar. Aðeins annar þeirra er lagður af keepalive.