WireGuard ең соңғы қол алысуды көрсетпейді: алдымен нені тексеру керек

Ең соңғы қол алысу өрісінің бос болуы әдетте интерфейс көтерілгеннен бері қол алысуды аяқтамағанын білдіреді, бұл конфигурация туралы көрінгеннен де аз айтады. WireGuard пакет интерфейстен шығуы қажет болғанша үнсіз қалады, сондықтан жіберер ештеңесі жоқ бос peer дәл осыны хабарлайды. Кілттерді тексермес бұрын шынымен бірдеңе ұсынылғанын анықтаңыз.

Сынақ — peer тасымалдауы тиіс тағайындалған жерге бағытталған рұқсат етілген пакет. Сол күй экранындағы қалғанның бәрі әрекетті емес, ниетті сипаттайды.

Бос интерфейстің хабарлайтын ештеңесі жоқ

WireGuard қол алысуларды жалқау жасайды: туннель қажет ететін бірінші пакет айырбасты бастайды, ал интерфейс сонша уақыт үнсіз тұрады. Конфигурацияланып, ешқашан пайдаланылмаған peer бос қол алысуды, нөл қабылданған байтты және соңғысынан бері өсіп келе жатқан аралықты көрсетеді. Бұл күй белсенді емес клиент үшін қалыпты және трафик әлдеқашан ағып кетті деп күткен жағдайда ғана алаңдатады. Тасымалдау есептегіштерін де тексеріңіз, өйткені олар «ештеңе жіберілмеді» күйін «әрекет жасалды және сәтсіз аяқталды» күйінен ажыратады.

Есептегіштер екі жақта да нөлде тұрса, мәселе туннельден жоғарыда. Интерфейске бірдеңені қоздыратын ештеңе жетпеді.

peer тасымалдауға рұқсат етілген трафикті қоздырыңыз

Жергілікті машинада peer-дің рұқсат етілген префикстерінің ішіндегі мекенжайды таңдап, маршруттау кестесі оны интерфейстен жіберетінін растаңыз. Сол префикстерден тыс тағайындалған жер WireGuard-тың еш қатысынсыз қарапайым маршрутталған сұраныс жасайды. Жылдам жауап беретін қызметті пайдаланыңыз, мысалы ping немесе қысқа TCP қосылымы, әрекеттің көрінетін басы мен соңы болуы үшін. Содан кейін экранға қарап күтудің орнына қол алысу жолын қайта оқыңыз.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

Маршрут сұранысы ping-нен маңыздырақ. Егер ол физикалық интерфейсті атаса, пакет туннельге ешқашан кірмеген және бос қол алысу криптографиялық емес, маршруттау жауабы. peer-ді жөндеуден бұрын маршрутты түзетіңіз.

Кілт жұбын және шеткі нүктені салыстырыңыз

Трафик шынымен ұсынылған соң, келесі тексеріс — сәйкестік. Жергілікті жеке кілт қарсы жақ рұқсат беретін ашық кілтке сәйкес болуы керек, конфигурацияланған қашықтағы ашық кілт көзделген peer-ді анықтауы керек, ал кез келген алдын ала бөлісілген кілт екі ұшында сәйкесуі керек. base64 кілтіндегі бір таңбаның айырмашылығы конфигурацияланған болып көрінетін және ешқашан айырбасты аяқтамайтын peer жасайды. Кілттерді қайта жасаудың орнына жабдықтау жазбасымен салыстырыңыз, өйткені жаңа кілт ескіге сенген әрбір peer-ді жарамсыз етеді.

Шеткі нүкте де осындай тексеруді қажет етеді: хост аты, мекенжай, UDP порты және оған жету үшін қолданылатын отбасы. Ескірген мекенжай немесе қате порт хабарламаның орнына үнсіздік береді.

Сыртқы UDP жолын бақылаңыз

Қол алысу UDP ретінде шеткі нүктеге қарай жүреді, сондықтан сыртқы жол оны тасымалдауы керек. Төмендегі командалар тыңдаушының бар-жоғын, жергілікті стектің датаграмманы жібергенін және қай шеткі нүкте конфигурацияланғанын тексереді. Түсіруді трафикті қоздырған кезде іске қосыңыз, оның алдында емес.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Басталуды жауапсыз көрсететін түсіру машинадан тысқары нұсқайды, өйткені қарсы жақ не тыңдамайды, не сүзілген, не қате мекенжайланған. Ештеңе көрсетпейтін түсіру пакеттің ешқашан шықпағанын білдіреді, бұл сізді маршрутқа және ойындағы кез келген socket белгісіне қайтарады. Екі ұшын да басқарсаңыз, әрекетті жалпы түсіру емес, сервердегі тар түсірумен уақыт белгісі бойынша сәйкестендіріңіз. TCP портының сынағы мұнда ештеңені дәлелдемейді, өйткені протокол тек UDP.

Қол алысу пайда болған бойда, қосымшаны туннель арқылы сынап көріңіз, өйткені аяқталған айырбас сәйкестік пен қолжетімділікті дәлелдейді, пайдалануға болатын өткізу қабілетін немесе дұрыс DNS-ті емес. Өзгеріске дейінгі және кейінгі күй шығысын сақтаңыз, айырмашылық сіздің дәлеліңізге айналады.