WireGuard-jafningi óaðgengilegur á meðan annar virkar: gátlisti

Einn WireGuard-jafningi flytur umferð og sá seinni klárar handaband en nær aldrei neinu handan við göngin. Jafninginn sem virkar segir þér að viðmótið, UDP-gáttin og lykill netþjónsins séu líklega í lagi. Hann segir þér ekkert um AllowedIPs hins jafningsins, innra upprunafang hans eða framsendingarreglurnar þar á milli. Farðu í gegnum listann í réttri röð og stoppaðu við fyrsta skrefið þar sem skilyrðið bregst.

Skref 1: Skrifaðu niður slóðina sem pakkinn á að fara

Tveir biðlarar á sama hub ná ekki sjálfkrafa hvort í annað. Í hub-og-geisla hönnun tekur netþjónninn við pakkanum á wg0 og verður að senda hann aftur út úr wg0 til hins jafningsins, sem krefst IP-framsendingar og framsendingarreglu. Í beinni jafningja-á-jafningja hönnun þarf hvor hlið endapunkt hinnar og göngufang hennar innan AllowedIPs. Ákveddu hvaða hönnun þú ert að kemba áður en þú lest nokkra stillingu.

Vænta slóðin segir þér líka hvar á að leita. Ef pakkinn á að fara yfir hubinn er hopskrefið sem bregst annaðhvort AllowedIPs sendandans, framsending hubins eða AllowedIPs viðtakandans. Ef hann á að fara beint er hubinn óviðkomandi og endapunktssviðin á báðum jafningjum skipta máli.

Skref 2: Berðu saman AllowedIPs á báðum hliðum, ekki bara annarri

WireGuard notar AllowedIPs bæði sem leiðarvísitöflu og sem aðgangslista. Við sendingu er áfangastaðurinn flettur upp í AllowedIPs jafningsins til að velja göngin; við móttöku verður innra upprunafangið að falla innan AllowedIPs sendandi jafningsins annars er pakkanum hent. Svið sem vantar á aðra hvora hlið gefur sömu einkenni: flutningurinn virkar, hleðslan hverfur.

Lestu lifandi ástand í stað skrárinnar, því endurhleðsla gæti hafa mistekist í kyrrþey: sudo wg show wg0 allowed-ips. Á netþjóninum verður færsla jafningsins sem bregst að innihalda göngufang hans, til dæmis 10.90.0.3/32. Á biðlaranum verður færsla netþjónsjafningsins að innihalda áfangastaðinn sem þú prófar, hvort sem það er göngufang hubsins eða fjarlæga undirnetið. Svið sem skarast gera uppflettinguna óljósa og geta valið jafningja sem þú áttir ekki við, svo haltu þeim aðskildum.

Skref 3: Athugaðu innra upprunafangið

Biðlari sem beinir 10.90.0.3 í gegnum wg0 en sendir pakka frá Wi-Fi-fangi sínu verður hafnað af viðtakandanum, því uppruninn passar ekki við AllowedIPs jafningsins. Staðfestu hvað kjarninn velur í raun með ip route get 10.90.0.3 from 10.90.0.2, og staðfestu fangið sem úthlutað er gönguviðmótinu með ip -brief addr show wg0.

Á móttökuhýsilinu með Linux er síun bakslóðar annar hliðvörður. Strangt rp_filter á viðmótinu sem á bakleiðina getur hent gönguumferð sem bakleið hennar passar ekki við viðmótið sem hún barst á. Athugaðu virka gildið áður en þú slökktir á því; í mörgum staðfræðum er rétta leiðréttingin leið, ekki slakað síu.

Skref 4: Farðu yfir framsendingu hubsins og bakleiðina

Ef hubinn verður að senda á milli jafningja þarf kjarninn net.ipv4.ip_forward=1, og eldveggurinn verður að samþykkja framsenda flæðið: inn á wg0, út á wg0, frá göngufangi sendandans til fangs viðtakandans. Algeng mistök eru inntaksregla sem samþykkir UDP 51820 en engin framsendingarregla], svo handabandið heppnast og hleðslan deyr. Skráðu virkar reglur með sudo nft list ruleset eða samsvarandi fyrir eldveggsstjórann þinn.

Athugaðu svo svarið. Áfangastaðarhýsillinn verður að hafa leið aftur til sendandans, annaðhvort um hubinn eða um sína eigin gátt. Ef hubinn NAT-ar líka gönguundirnetið skaltu staðfesta að þýðingin eigi við framsenda flæðið og að svarið nái til hubins áður en ástandið rennur út. Einátta bilun sem lítur út eins og lykilvandamál er oft bara þessi bakleið.

Að lokum skaltu aðskilja handabandið frá gögnunum. Jafningi sem klárar handaband en stöðvast við stórar flutningar er yfirleitt með MTU- eða MSS-vandamál á þeirri slóð, ekki AllowedIPs-vandamál. Prófaðu fyrst með litlum ping, svo með fullri stærð, og berðu saman jafningjana tvo.

Skref 5: Breyttu einu atriði og haltu virka jafningnum ósködduðum

Gerðu eina breytingu á slóðinni sem bregst og prófaðu báða jafningjana aftur. Að skipta AllowedIPs hvers jafnings út fyrir 0.0.0.0/0 er fljótlegasta leiðin til að brjóta jafningjann sem virkaði þegar, því það breytir leiðarákvörðun fyrir alla umferð á því viðmóti. Breyttu einu færslunni, hlauðu aftur og lestu lifandi ástandið.

Skráðu hvaða slóð heppnaðist, hver misheppnaðist og nákvæma skipanautgáfu fyrir hvora. Sá samanburður er meira virði en almennt tilkynning um að VPN-ið sé bilað, og það er það fyrsta sem næsti maður mun biðja um.