Den WireGuard-Handshake funktionéiert, den Déngscht net

Den Handshake geet duerch, de Client weist en neien Iwwerdroungszähler, an eng Ufro un en Déngscht um selwechte Server schléit trotzdem fehl. Dës Kombinatioun verwierrt d'Leit, well den Tunnel beweisbar funktionéiert. Wat net bewisen ass, ass déi lokal Zoustellung: de Pak huet den Host erreecht, an den Host muss en nach op der richteger Socket unhuelen an un e Prozess mat Äntwertberechtegung weiderginn. Schaff dës dräi Kontrollpunkten der Rei no duerch.

Bleif beim éischten, deen net zoutrëfft, a lee fir déi aner keng Reegelen un.

Den Handshake beweise just den Tunnel

Den Handshake vu WireGuard setzt Schlësselen tëschend Peers op an autoriséiert Verkéier fir d'Beräicher, déi all Peer opgelëscht huet. En seet näischt doriwwer, wéi eng Prozesser um Server lauschteren, an och näischt doriwwer, ob d'Firewall vum Host Pakete unhëlt, déi un eng vu sengen eegene Adressen adresséiert sinn.

Genau déi lescht Ënnerscheedung gëtt am dackste vergiess: Verkéier zum Host selwer ass lokalen Input, wärend Verkéier, deen duerch den Host an eng aner Richtung geet, Weiderleitung ass. Si gi vun ënnerschiddleche Firewall-Ketten an ënnerschiddlechen Astellunge behandelt. Déi falsch Kett ze kontrolléieren kascht en Nomëtteg a gëtt Zähler zréck, déi onschëlleg ausgesinn.

Lies de Lauschterer an d'Route

Um Client, bestäteg datt d'Tunneladress vum Server an den Tunnel gerout gëtt. Um Server, bestäteg datt eng Socket op der Adress existéiert, déi de Client benotzt, an datt de Prozess hannendrun dee gewollten ass.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

E Lauschterer op 127.0.0.1 wäert ni eng Ufro beäntweren, déi un 10.66.0.1 adresséiert ass, egal wat d'Firewall erlaabt. E Lauschterer op der Allgemengadress wäert et, ausser eng Regel blockéiert en. D'Socketlëscht entscheet also d'Halschent vun de Fäll, ier iergendeng Regel gekuckt gëtt. Port an Adress entscheeden zesummen, ob eng Ufro kënnt ukommen.

Vergläich d'Adress, déi de Client benotzt, mat der Adress, déi de Server tatsächlech um Tunnel-Interface huet. Eng veralterte Konfiguratioun op enger vun de Säiten erzeugt eng Ufro, déi korrekt un e Peer gerout gëtt, deen déi Adress net huet.

Setz Reegelen fir lokalen Input, net fir Weiderleitung

Wann de Pak ukommt an d'Socket existéiert, ass déi reschtlech Grenz d'Input-Politik. Eng Regel, déi Weiderleitung erlaabt, erlaabt keng lokal Zoustellung, an eng Regel, déi op en Interface limitéiert ass, passt vläicht net zum erwaarten Numm vum Tunnel-Interface.

Test mat engem eenzegen erlaabte Port zum gewollten Déngscht, amplaz den Host opzemaachen. Kontrolléier duerno d'Autorisatioun vun der Applikatioun selwer: eng Erlaabnislëscht, eng Kontofuerderung oder eng Bindung un en bestëmmten Hostnumm kënnen eng Ufro ofleenen, déi d'Netz erfollegräich geliwwert huet.

Loos d'Zertifikatskontrollen a Plaz. Eng onerwaart Zertifikatsidentitéit ass Informatioun doriwwer, wéi en Host geäntwert huet, keen Hindernis fir ëmzegoen. Iwwer se ze klicken verstoppt deen eenzegen Indice, deen den falschen Déngscht identifizéiert.

Trenn Numm-, Gréisst- an Identitéitsfehler

En Déngscht, deen iwwer d'Adress funktionéiert, awer iwwer den Numm feelt, ass en DNS-Problem, an d'Korrektur gehéiert an d'Resolver-Konfiguratioun, déi un de Client geschéckt gëtt, net an d'Firewall. En Déngscht, deen kleng Ufroen beäntwert, awer bei gréisseren Äntwerten hänkt, deit op Pakgréisst an MTU hin, wat eng ganz aner Enquête ass.

En HTTPS-Fehler, deen de falschen Host nennt, bedeit meeschtens, datt d'Ufro en aneren Déngscht erreecht huet, dacks well e Proxy oder en anere Lauschterer dee Port huet. Lies de Sujet vum Zertifikat a vergläich en mam Host, deen s de erreeche wollts. Dee Verglach kascht näischt an hält d'Enquête dacks op.

Nottéier, wéi ee Kontrollpunkt versot huet: Socket, Input-Regel oder Applikatiounspolitik. Déi eng Zeil ënnerscheet e Netzwierkfehler vun enger Autorisatiounsentscheedung. Si verhënnert och, datt déi nächst Persoun Porte opmécht, déi ni de Problem waren.