WireGuard маалымат жөнөтөт, бирок эч нерсе кайтпайт: кайсы тарап?
Өсүп жаткан жөнөтүү эсептегичи — бул багыт, диагноз эмес. Бир нерсени өзгөртүүдөн мурун суроо туннелден чыкпадыбы же жооп кайтпадыбы, аны аныктаңыз.
Кабыл алуу эсептегичи нөлдө турганда өскөн жөнөтүү эсептегичтери багытты сүрөттөйт, диагнозду эмес. Ошол эле көрсөткүч шерик эч качан кол алышууну бүтүрбөгөндө, багытка башка шерикти тандаганда, алыскы тарапта кайтуу маршруту жок болгондо жана чыпка жоопту үйгө кайтар жолдо таштаганда пайда болот. Алардын ар бири башка жерде оңдолот.
Жумушту кыскарткан салыштыруу — туннелден эч качан чыкпаган суроо менен эч качан кайтпаган жооптун ортосунда. Туура интерфейстеги бир жазуу алардын ортосунда чечет.
Эсептегичтер көлөмдү сүрөттөйт, бузулуунун багытын эмес
WireGuard эсептегичтери интерфейстин шерикке эмне бергенин жана андан эмне алганын жазат. Алар кайсы багыт, кайсы шерик же алмашуунун кайсы жарымы ийгиликсиз болгонун айтпайт. Фондук трафик жыйынтыктарды андан да маалыматсыз кылат, анткени айрым байттар байланышты кармоо сигналдары же байланышсыз агымдар болушу мүмкүн. Аларды интерфейстин активдүү экендигинин көрсөткүчү катары окуңуз, анан аларды далил катары кароону токтотуңуз.
Биринчи пайдалуу факт — кол алышуу учурдагыбы. Ансыз бул шерик үчүн эч нерсе шифрленген жок жана кабыл алуу эсептегичинин кыймылдоого себеби жок.
Шерикти тандоо же жооптун жолу: эки түшүндүрмө
Биринчи түшүндүрмө — пакет көздөлгөн шерикке эч качан жеткен эмес, анткени маршрут башка жакты көрсөтүп турган же шериктин уруксат берилген префикстери багытты камтыган эмес. Экинчиси — пакет жетти, бирок жооп кайта алган жок, бул алыскы учундагы маршруттоо маселеси. Таблица аларды ар бир чекитте эмнени байкаарыңызга жараша ажыратат.
| Observation | Points to |
|---|---|
| No handshake while transmit climbs | Peer selection or endpoint |
| Handshake current, request visible on the server | Reply path or far-side route |
| Request never visible on the server | Allowed prefixes or local route |
| Both packets visible, nothing reaches the client | Return filter or translation |
Таблицаны жогорудан окуңуз. Кол алышуу жок болсо, сизди ачкычтарга, акыркы чекиттерге жана сырткы жолго жиберет, анткени азырынча текшере турган башка нерсе жок. Суроо серверде көрүнүп турган учурдагы кол алышуу маселени кайтуу багытына жылдырат, ал жерде багыттын өз маршрут таблицасы чечет. Серверде эч качан көрүнбөгөн суроо — тандоо маселеси, ал эми эки шериктин уруксат берилген префикстери эң оболу салыштырылуучу нерсе.
Бул төрт саптын экөө кардарда, экөө серверде оңдолот. Кайсы жупта экениңизди билүү — жумуштун көп бөлүгү.
Жооптор кайда жоголот
Жооп багыттан чыгып, сервердин туннелдик интерфейсине жетет жана уруксат берилген даректери кардардын ички дареги менен дал келген шерик үчүн шифрленет. Эгер бул дал келүү ийгиликсиз болсо, жооп үнсүз ташталат, бул кардар тарабынан такыр тармак бузулушуна окшош көрүнөт. Эгер жооп шифрленген болсо жана кардардын өз чыпкасы аны четке какса, симптом кайрадан ошол эле. Эки учурда тең эсептегич эмес, жазуу керек.
Бул катанын эң күчтүү түрү — кардар үчүн пакеттерди өткөрүп турган, бирок кардардын ички диапазонуна кайтуу маршруту жок сервер. Ал суроону кабыл алат, жоопту өзүнүн демейки шлюзине карай жөнөтөт, ал эми туннел аны эч качан көрбөйт. Серверге кошулган кеңири котормо эрежеси маршрутту оңдоонун ордуна ошол бузулушту жашырат.
Бир багытты башынан аягына чейин текшериңиз
Шериктин диапазонунун ичинен бир гана багыт тандап, кол алышуу ачык учурдагы кезде текшериңиз. Төмөнкү буйруктар шериктин абалын, тандалган маршрутту жана алмашуунун эки тарабын окуйт. Жазууну шифрленген пакеттер чындап колдонгон интерфейсте аткарыңыз.
wg show wg0 latest-handshakes
wg show wg0 transfer
ip route get 10.60.9.5
sudo tcpdump -ni wg0 host 10.60.9.5Туннелдик интерфейсте суроону көрсөтүп, эч нерсе кайтпаган жазуу — сервер тарабынын жообу, ал эми багыттын маршрут таблицасы — мындан ары кароочу жер. Эгер такыр эч нерсе көрүнбөсө, пакет башка жол менен кеткен, ошондуктан жергиликтүү маршрут шектүү. Эки жазууда тең көрүнгөн, бирок колдонмодо илгерилөө жок алмашуу суроону пакеттин өлчөмүнө же интерфейс статистикасы эч качан көрсөтпөгөн чыпкага жылдырат. Сыноодо бир багытты жана бир кардарды кармаңыз, анткени экинчи өзгөрмө далилди кайрадан таасирге айландырат.
Эгер уруксат берилген дарек иштеп жатканда аттар ийгиликсиз болсо, жооп туннелде эмес, DNS ичинде. Эгер тек чоң өткөрүүлөр токтоп калса, пакеттин өлчөмүн өзүнчө караңыз.