WireGuard қол алысуы жұмыс істейді, қызмет істемейді

Қол алысу аяқталады, клиент жаңа тасымалдау санағышын көрсетеді, бірақ сол сервердегі қызметке сұрау әлі де сәтсіз аяқталады. Бұл үйлесім адамдарды шатастырады, өйткені туннель анық жұмыс істейді. Дәлелденбегені — жергілікті жеткізу: пакет хостқа жетті, ал хост оны дұрыс сокетте қабылдап, жауап беруге рұқсаты бар процеске беруі керек. Осы үш бақылау нүктесін ретімен қарап шығыңыз.

Орындалмайтын біріншісінде тоқтаңыз және қалғандары үшін ереже қоспаңыз.

Қол алысу тек туннельді дәлелдейді

WireGuard қол алысуы тараптар арасында кілттерді орнатады және әр тарап тізімдеген ауқымдар үшін трафикке рұқсат береді. Ол серверде қандай процестер тыңдап жатқаны туралы ештеңе айтпайды, хосттың брандмауэры өз мекенжайларының біріне жіберілген пакеттерді қабылдай ма, оны да айтпайды.

Дәл осы соңғы айырмашылық жиі назардан тыс қалады: хосттың өзіне баратын трафик — жергілікті кіріс, ал хост арқылы басқа жерге өтетін трафик — қайта бағыттау. Оларды әртүрлі брандмауэр тізбектері мен әртүрлі параметрлер басқарады. Қате тізбекті тексеру жарты күнді жоғалтып, зиянсыз көрінетін санағыштарды қайтарады.

Тыңдаушы мен маршрутты оқыңыз

Клиентте сервердің туннель мекенжайы туннельге маршрутталатынын растаңыз. Серверде клиент қолданатын мекенжайда сокет бар екенін және оның артындағы процесс көзделген процесс екенін растаңыз.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

127.0.0.1 мекенжайында тыңдаушы 10.66.0.1 мекенжайына жіберілген сұрауға ешқашан жауап бермейді, брандмауэр неге рұқсат берсе де. Жалпы мекенжайдағы тыңдаушы жауап береді, егер ереже оны бұғаттамаса. Сондықтан сокеттер тізімі кез келген ережені қарастырмай тұрып жарты жағдайды шешеді. Порт пен мекенжай бірге сұраудың жету мүмкіндігін анықтайды.

Клиент қолданатын мекенжайды сервердің туннель интерфейсінде шын мәнінде бар мекенжаймен салыстырыңыз. Кез келген жақтағы ескірген конфигурация дұрыс маршрутталған, бірақ ондай мекенжайы жоқ тарапқа кететін сұрау тудырады.

Ережелерді жергілікті кіріске қолданыңыз, қайта бағыттауға емес

Пакет келіп, сокет болса, қалған шекара — кіріс саясаты. Қайта бағыттауға рұқсат беретін ереже жергілікті жеткізуге рұқсат бермейді, ал бір интерфейспен шектелген ереже күткен туннель интерфейсінің атауына сәйкес келмеуі мүмкін.

Хостты ашудың орнына көзделген қызметке рұқсат етілген бір портпен сынап көріңіз. Содан кейін қолданбаның өз авторизациясын тексеріңіз: рұқсат тізімі, шот талабы немесе нақты хост атауына байлау желі сәтті жеткізген сұрауды қабылдамауы мүмкін.

Сертификат тексерулерін орнында қалдырыңыз. Күтпеген сертификат идентификациясы қай хост жауап бергені туралы ақпарат, ал айналып өту керек кедергі емес. Одан өту үшін басу қате қызметті анықтайтын жалғыз белгіні жасырады.

Атау, өлшем және идентификация ақауларын бөліңіз

Мекенжай бойынша жұмыс істеп, атау бойынша сәтсіздікке ұшырайтын қызмет — DNS мәселесі, және түзету брандмауэрде емес, клиентке жіберілетін шешуші конфигурациясында. Кіші сұрауларға жауап беріп, үлкен жауаптарда тұрып қалатын қызмет пакет өлшемі мен MTU-ға нұсқайды, бұл мүлде басқа тергеу.

Қате хостты атайтын HTTPS қатесі әдетте сұраудың басқа қызметке жеткенін білдіреді, көбіне прокси немесе басқа тыңдаушы сол портқа ие болғандықтан. Сертификат субъектісін оқып, жеткіңіз келген хостпен салыстырыңыз. Бұл салыстыру ештеңеге тұрмайды және тергеуді жиі аяқтайды.

Қай бақылау нүктесі сәтсіз болғанын жазыңыз: сокет, кіріс ережесі немесе қолданба саясаты. Сол бір жол желі ақауын авторизация шешімінен ажыратады. Ол сондай-ақ келесі адамның ешқашан мәселе болмаған порттарды ашуына жол бермейді.