Den Handdrock vu WireGuard geléngt, awer et kënnt keng Äntwert zréck

Nei Handdrock sinn eng gutt Noriicht an eng vill méi kleng Behauptung wéi de Saz, deen een schreiwe wëll. D’Peeren hunn authentifiéiert Handdrockmessage ausgetosch. En Applikatiounspak muss awer nach ëmmer säin internen Zil erreechen an zréckkommen.

Dës Lück tëschent enger gesonder Kontrollfläch an enger stëmmer Datenfläch ass dat ganzt Theema hei. Zwee Liesungen vun deene selwechten Zähler soen Iech, op wéi enger Säit Dir sidd.

En Handdrock beweist Schlësselen, net Liwwerung

Den Handdrock vu WireGuard ass eng Schlësselofsprooch mat Authentifikatioun. En geléngt, soubal d’Peeren sech kënnen erreechen an gülteg Schlësselen hunn. Routing, Firewallpolitik an d’Zil selwer sinn Froen, déi den Handdrock ni stellt.

Also kann en Tunnel perfekt opgebaut sinn, während all Pak dobannen verworf gëtt. En falsch gerouteten internen Pak an eng Äntwert, déi en anere Wee hëlt, gesinn aus Clientssäit gläich aus.

Eng intern Adress ass de ganzen Test

Wielt een Zil a bleift dobäi. D’Tunneladress vum Géigeniwwer selwer ass deen einfachste Fall, an en Host hannendrun füügt genee een Hop derbäi. Tëschent deenen zwee ze wiesselen, ouni d’Ännerung ze notéieren, gëtt Resultater, déi keen vergläiche kann.

Kuckt dann op d’Route, déi de Client wielt. Eng méi spezifesch lokal Route kann de Pak soss wouhi schécken, ier de WireGuard iwwerhaapt gefrot gëtt, an dat geschitt ëmmer, wann de Heem-LAN dee wäiten Beräich iwwerdeckt.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Eng Adress, déi sech op de physeschen Interface opléist, huet d’Fro schonn beäntwert. Den Tunnel verwerft näischt. De Pak ass ni era gaangen.

Zähler si Beweiser, keen Uerteel

wg show mellen déi gesente an empfaange Byten pro Peer, an déi zwou Zuelen beweege sech onofhängeg. Huelt eng Liesung, maacht eng erlaabte Ufro, an huelt dann nach eng Liesung bannent der selwechter Minutt.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Sendungen, déi klammen, während den Empfang flach bleift, sinn d’Signatur vun enger onbeäntwerten Ufro. Et seet net, ob d’Ufro gefiltert gouf, ob d’Zil aus war oder ob d’Äntwert iwwer eng aner Route gaang ass. Dat sinn dräi Ënnersichungen mat engem Symptom. Trennt se, ier Dir eng Konfiguratioun ännert.

Eng fest Bytenzuel ass och keng Erfollegsgrenz. D’Wäerter vun den Zähler follegen dem Traffic, an eng eenzeg Zuel als Beweis fir Gesondheet ze huelen, produzéiert selbstsécher Barech.

D’Géigeniwwer iwwerpréift de Réckpak selwer

Déi wäit Säit akzeptéiert en internen Pak nëmmen, wann d’Quell an hir allowedips fält. Eng Route, déi et beim Sender gëtt, ass net genuch. Eng feelend Quellentrée beim Empfänger verwërft de Récktraffic stëll.

D’Firewalle vum Host stinn hannert där Kontroll. Eng Weiderleedungsregel, déi den Tunnelinterface erlaabt, awer net dat intern Subnetz, akzeptéiert den Handdrock an hëlt de Pak net un. Aus Clientssäit gesäit dat genee wéi en doudegt Géigeniwwer aus. En Host mat zwee Interface kann och aus der falscher Quell äntweren, an dann verwërft d’Géigeniwwer d’Äntwert, déi et ni erwaart huet.

Hält den Experiment éierlech

En Fernzougangsprofil aus demselwechten Heemnetz ze testen, dat en erreeche soll, üübt en anere Wee wéi dee virgesinn. Wiesselt op dat extern Netz a notéiert säi lokale Prefix, sou datt déi zwee Lafen ze vergläiche sinn.

En klengen erfollegräichen Austausch schléisst och net all Weeproblem aus. Méi grouss Paken kënne feelen, wou kleng duerchkommen, an e Filter, deen op Gréisst oder Protokoll passt, kann sech ënner Laascht anescht behuelen.

Hält den Handdrock als déi bekannt funktionéierend Etapp a geet vun do aus weider. Den nächste nëtzlechen Beweis ass, wou eng intern Ufro stoppt, net en neie Schlësselsaz an nach eng Ronn Roten.