WireGuard кол алышуусу иштейт, кызмат иштебейт

Кол алышуу аяктайт, кардар жаңы өткөрүү эсептегичин көрсөтөт, бирок ошол эле сервердеги кызматка сурам ишке ашпайт. Бул айкалыш адамдарды адаштырат, анткени туннель ачык иштеп жатат. Далилденбегени — жергиликтүү жеткирүү: пакет хостко жетти, ал эми хост аны туура сокетте кабыл алып, жооп берүүгө укугу бар процесске берүүсү керек. Бул үч текшерүү пунктун ирети менен карап чыгыңыз.

Аткарылбаган биринчисинде токтоңуз жана калгандары үчүн эреже кошпоңуз.

Кол алышуу туннелди гана далилдейт

WireGuard кол алышуусу тараптардын ортосунда ачкычтарды орнотот жана ар бир тарап тизмелеген диапазондор үчүн трафикке уруксат берет. Ал серверде кайсы процесстер угуп жатканы жөнүндө эч нерсе айтпайт, хосттун брандмауэри өзүнүн даректеринин бирине жиберилген пакеттерди кабыл алабы, аны да айтпайт.

Так ушул акыркы айырма көбүнчө көздөн качат: хосттун өзүнө барган трафик — жергиликтүү кирүү, ал эми хост аркылуу башка жакка өткөн трафик — кайра багыттоо. Аларды ар башка брандмауэр тизмектери жана ар башка жөндөөлөр башкарат. Туура эмес тизмекти текшерүү жарым күндү жоготот жана зыянсыз көрүнгөн эсептегичтерди кайтарат.

Угуучуну жана маршрутту окуңуз

Кардарда сервердин туннель дареги туннелге маршрутталаарын ырастаңыз. Серверде кардар колдонгон даректе сокет бар экенин жана анын артындагы процесс көздөлгөн процесс экенин ырастаңыз.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

127.0.0.1 дарегинде угуучу 10.66.0.1 дарегине жиберилген сурамга эч качан жооп бербейт, брандмауэр эмнеге уруксат бербесин. Жалпы даректеги угуучу жооп берет, эгер эреже аны бөгөттөбөсө. Ошондуктан сокеттер тизмеси кандайдыр бир эрежени карабастан мурун иштердин жарымын чечет. Порт менен дарек бирге сурамдын жетүү мүмкүнчүлүгүн аныктайт.

Кардар колдонгон даректи сервер туннель интерфейсинде чындыгында ээ болгон дарек менен салыштырыңыз. Кайсы тарапта болбосун эскирген конфигурация туура маршрутталган, бирок андай дареги жок тарапка кеткен сурам жаратат.

Эрежелерди жергиликтүү кирүүгө колдонуңуз, кайра багыттоого эмес

Пакет келип, сокет бар болсо, калган чек — кирүү саясаты. Кайра багыттоого уруксат берген эреже жергиликтүү жеткирүүгө уруксат бербейт, ал эми бир интерфейс менен чектелген эреже күтүлгөн туннель интерфейсинин атына туура келбеши мүмкүн.

Хостту ачуунун ордуна көздөлгөн кызматка уруксат берилген бир порт менен сынап көрүңүз. Анан колдонмонун өзүнүн авторизациясын текшериңиз: уруксат тизмеси, эсеп талабы же белгилүү хост атына байлоо тармак ийгиликтүү жеткирген сурамды четке кагышы мүмкүн.

Сертификат текшерүүлөрүн ордунда калтырыңыз. Күтүлбөгөн сертификат идентификациясы кайсы хост жооп бергенин билдирген маалымат, ал эми айланып өтүүчү тоскоол эмес. Андан өтүү үчүн басуу туура эмес кызматты аныктаган жалгыз белгини жашырат.

Ат, өлчөм жана идентификация каталарын бөлүңүз

Дарек боюнча иштеп, ат боюнча ишке ашпаган кызмат — DNS маселеси, жана оңдоо брандмауэрде эмес, кардарга жиберилүүчү чечүүчү конфигурациясында. Кичине сурамдарга жооп берип, чоң жооптордо токтоп калган кызмат пакет өлчөмүнө жана MTU-га көрсөтөт, бул таптакыр башка иликтөө.

Туура эмес хостту атаган HTTPS катасы адатта сурамдын башка кызматка жеткенин билдирет, көбүнчө прокси же башка угуучу ошол портко ээ болгондуктан. Сертификаттын субъектин окуп, жетүүнү каалаган хост менен салыштырыңыз. Бул салыштыруу эч нерсеге турбайт жана иликтөөнү көп учурда бүтүрөт.

Кайсы текшерүү пункту ишке ашпаганын жазыңыз: сокет, кирүү эрежеси же колдонмо саясаты. Ошол бир сап тармактын бузулушун авторизация чечиминен ажыратат. Ал ошондой эле кийинки адамдын эч качан маселе болбогон портторду ачуусуна жол бербейт.