WireGuard weist keen leschten Handshake: wat fir d’éischt ze kontrolléieren

En eidele Feld vum leschten Handshake heescht meeschtens, datt d’Interface zënter dem Opgeen nach keen Handshake fäerdeg gemaach huet, wat manner iwwer d’Konfiguratioun seet wéi et ausgesäit. WireGuard bleift stëll, bis e Paket duerch d’Interface muss eraus, dofir mellt en idle Peer ouni eppes ze schécken genau dat. Kloer ob iergendeppes wierklech ugebuede ginn ass, ier s du d’Schlëssele ënnersichs.

Den Test ass en erlaabte Paket a Richtung vun engem Zil, dat de Peer soll droen. Alles anescht um deem Status-Écran beschreift Absicht an net Aktivitéit.

Eng idle Interface huet näischt ze mellen

WireGuard mécht Handshakes liddereg: dat éischt Paket, dat den Tunnel brauch, léist den Austausch aus, an d’Interface bleift bis dohi stëll. En Peer, dee konfiguréiert an ni benotzt gouf, weist en eidele Handshake, null empfaange Bytes an eng wuessend Lück zënter dem leschten. Dee Zoustand ass gesond fir en idle Client a just alarméierend, wann s du erwaart hues, datt den Traffic schonn gefloss ass. Kuck och d’Transferzähler un, well se näischt-gescheckt vun probéiert-a-feelgeschloen trennen.

Wann d’Zähler op béide Säiten op null stinn, ass de Problem uewerhalb vum Tunnel. Näischt huet d’Interface erreecht fir eppes auszeléisen.

Léis Traffic aus, deen de Peer däerf droen

Wiel eng Adress bannent de erlaabte Prefixe vum Peer, op der lokaler Maschinn, a bestäteg, datt d’Routingtabell se duerch d’Interface schécke géif. En Zil ausserhalb vun deene Prefixe produzéiert eng gewéinlech geroutete Ufro ganz ouni WireGuard-Bedeelegung. Benotz e Service, deen séier äntwert, wéi e Ping oder eng kuerz TCP-Verbindung, sou datt de Versuch en sichtbaren Ufank an Enn huet. Liest duerno d’Handshake-Linn nach eng Kéier, amplaz um Écran ze kucken an ze waarden.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

D’Routenfro ass méi wichteg wéi de Ping. Wann se d’physesch Interface nennt, ass de Paket ni an den Tunnel komm an den eidele Handshake ass eng Routing-Äntwert, keng kryptografesch. Reparéier d’Route, ier s de Peer debuggs.

Vergläich d’Schlësselpaar an den Endpunkt

Soubal den Traffic wierklech ugebuede gëtt, ass d’Identitéit déi nächst Kontroll. De lokale private Schlëssel muss zum ëffentleche Schlëssel passen, deen déi aner Säit autoriséiert, dee konfiguréierten fërnen ëffentleche Schlëssel muss de gewielte Peer identifizéieren, an all virun ausgedeelte Schlëssel muss op béide Säiten iwwerenee stëmmen. Een eenzege Charakterënnerscheed an engem base64-Schlëssel produzéiert en Peer, deen konfiguréiert ausgesäit an ni en Austausch fäerdeg mécht. Vergläich mat dem Provisionéierungsregistre amplaz d’Schlëssele nei ze generéieren, well en neie Schlëssel all Peer ongülteg mécht, deen dem ale vertraut huet.

Den Endpunkt brauch déi selwecht Iwwerpréiwung: Hostnumm, Adress, UDP-Port an d’Famill, déi benotzt gëtt fir en z’erreechen. Eng veralt Adress oder de falschen Port produzéiere Stëllt amplaz vun enger Noriicht.

Halt den äusseren UDP-Wee am Aa

Den Handshake reest als UDP Richtung Endpunkt, dofir muss den äusseren Wee en droen. D’Kommandos hei drënner kontrolléieren, ob et en Listener gëtt, ob de lokale Stack den Datagramm erausginn huet, an wéi en Endpunkt konfiguréiert ass. Laf d’Opnam, wärend s du den Traffic ausléiss, net virdrun.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Eng Opnam, déi den Ufank ouni Äntwert weist, deit aus der Maschinn eraus, well déi aner Säit entweder net lauschtert, gefiltert ass oder falsch adresséiert. Eng Opnam, déi guer näischt weist, heescht, datt de Paket ni erausgaang ass, wat dech zréck op d’Route an op all Socket-Mark bréngt, déi am Spill ass. Wann s du béid Säite verwalt, korreléier de Versuch no Zäitstempel mat enger enker Opnam um Server amplaz enger allgemenger. En TCP-Porttest beweise hei näischt, well de Protokoll nëmmen UDP ass.

Soubal en Handshake erschéngt, test eng Applikatioun duerch den Tunnel, well en ofgeschlossenen Austausch Identitéit an Erreechbarkeet beweise kann, net notzbar Duerchset oder korrekt DNS. Hal d’Statusausgab virun an no der Ännerung, an den Ënnerscheed gëtt Ären Beweis.