WireGuard virkar á farsímagögnum en ekki á sama wifi

Göngin koma upp á farsímagögnum og sitja svo á tengist heima, með sama sniði, sama jafningjalykli og engri stillingarbreytingu á milli. Munurinn liggur í ferðinni: beiðni innan frá LAN-inu á almenna vistfangið á leiðaranum er ekki sama ferð og beiðni sem kemur frá internetinu. Flest heimanetgáttarforrit útfæra ekki endurkomuleiðina yfirhöfuð eða aðeins fyrir tiltekna samskiptareglur. Það lætur einkennin líta út eins og bilaðan lykil þótt ekkert við lykilinn hafi færst. Greindu hvaða leið brást áður en þú snertir lykil, portframstillingu eða biðlaraforrit.

Eitt vistfang, tvær ólíkar leiðir

Utan frá nær pakki almenna vistfangi leiðarans og portframstillingarregla afhendir það WireGuard-hlustaranum á innri vélinni. Innan frá hringir biðlarinn í sama almenna vistfang, svo pakkinn fer frá biðlaranum, kemur að leiðaranum og verður að snúa aftur inn í LAN-ið. Það er við þessa aftursnúningu sem leiðirnar tvær greinast, því leiðarinn verður að þýða flæði sem bæði fer út og kemur aftur inn á sama viðmóti. Margar útfærslur sleppa því í stað þess að þýða það, og biðlarinn bíður þá eftir handabandi sem var aldrei sent.

Hegðunin er venjulega kölluð NAT-loopback eða hairpinning og hún tilheyrir leiðaranum frekar en WireGuard; RFC 4787 setur fram þau þýðingartilvik þar sem gátt má eða má ekki styðja hana. WireGuard sjálft hefur enga skoðun á leiðinni, því það sér aðeins pakka sem ná viðmóti þess. Þegar leiðarinn sleppir flæðinu fær daemoninn aldrei neitt, biðlarinn tilkynnir tímanút á handabandi og netþjónsloggið helst autt. Autt logg er því vísbending um hvar pakkinn stöðvaðist, ekki sönnun þess að netþjónninn sé niðri. Það er líka ástæðan fyrir því að enduruppsetning breytir engu.

Hitt gildir líka: netþjónslogg sem sýnir handabandstilraun frá LAN-vistfanginu sannar að pakkinn kom og leiðin er í lagi, sem færir rannsóknina yfir á lykla og leyfð vistföng. Lestu loggið fyrir það sem það sannar, ekki fyrir það sem þú vonaðist eftir að sjá.

Endurgerðu það áður en þú breytir nokkru

Prófaðu frá heimiluðu ytra neti með sama tæki og sama sniði og endurtaktu svo prófið innan LAN-sins án þess að breyta nokkru. Lokið handaband úti og biðlari sem inni yfirgefur tækið aldrei endurgera ástandið í stað þess að giska á það. Báðar tilraunir verða að nota sama snið, annars sannar samanburðurinn ekkert.

Horfðu svo á hvað endapunktanafnið leysir út fyrir þetta tæki. Eftirfarandi þrjár skipanir sýna líka hvaða vistfang biðlarinn hringdi í raun:

wg show wg0 endpoints
dig +short vpn.example.net A
resolvectl query vpn.example.net

Fyrsta skipunin tilkynnir endapunktinn sem viðmótið notar núna, og hinar tvær sýna hvað nafnið leysir út á þessari vél. Biðlari sem hringir í almennt vistfang á meðan hann situr á sama neti og netþjónninn er að nota hairpin-leiðina. Biðlari sem hringir í LAN-vistfangið gerir það ekki, og bilun þar tilheyrir annarri rannsókn. Sá greinarmunur ræður því hvort næsti hluti eigi yfirhöfuð við.

Studdar leiðir til að ná í nærliggjandi netþjón

Snyrtilegasta fyrirkomulagið er split-horizon-svar: almenna nafnið leysir út á almenna vistfangið fyrir internetið og á LAN-vistfang netþjónsins fyrir biðlara innan frá. Sniðið heldur einu endapunktanafni og leysirinn velur leiðina. Það krefst stjórnunar á innra DNS-svarinu, sem heimaleiðari býður yfirleitt upp á og fyrirtæki getur komið fyrir viljandi. Án þeirrar stjórnunar standa valkostirnir á milli leiðaraaðgerðar eða annars sniðs.

Leiðaraaðgerðin er endurkast: gáttin þýðir flæðið innan frá og út og sendir það aftur inn. Þar sem hún virkar þarf enga biðlarabreytingu, og þar sem hún virkar ekki bjargar engin biðlarastilling henni. Prófaðu hana með því að fylgjast með netþjónslogginu meðan á innri tilraun stendur í stað þess að lesa aðgerðalista leiðarans.

Að breyta sniðinu yfir á einkavistfang er greining, ekki hönnun. Það sannar að netþjónninn svari á LAN-inu, og það brýtur sama snið á sama augnabliki og fartölvan yfirgefur húsið.

Haltu sniðinu nothæfu fjarri heimilinu

Hvaða leið sem þú velur skaltu láta auðkenningarprófið í friði. Endapunktavistfangið er ekki jafningjaauðkennið, og vistfangsbreyting réttlætir aldrei að samþykkja ótengdan almennan lykil sem svarar fyrir tilviljun. WireGuard auðkennir með lyklinum, svo rangur vélbúnaður fellur á handabandinu í stað þess að veita aðgang að einhverju óvæntu.

Ef almenna vistfangið færist heldur kraftstýrða DNS nafninu nothæfu, og endurnýjunargerð biðlarans ræður því hve fljótt breytingin kemur í ljós. Prófaðu það utan frá eftir vistfangsbreytingu, því LAN-tilvikið getur ekki staðfest það. Gættu að leysi sem skyggir gamla svarið út fyrir líftíma færslunnar. Nafn sem bendir enn á fyrra vistfang lítur nákvæmlega út eins og netþjónn sem fór niður.

Skrifaðu niður hvaða nafn sniðið notar og hvað það leysir út hvoru megin við landamærin. Snið sem er háð leiðaraaðgerð sem enginn skráði er stuðningssímtal sem bíður næstu fastbúnaðaruppfærslu. Athugasemdin er líka það sem segir næsta manni hvort innri bilun er þekkta hairpin-tilvikið eða eitthvað nýtt.