WireGuard funktionéiert eréischt nodeems de Server schéckt: Wëssen iwwer den Endpunkt

Den Tunnel schéngt eréischt ze funktionéieren nodeems de Server als éischt eppes schéckt. Start vum Client aus an et geschitt näischt, waart e puer Sekonnen, probéier nach eng Kéier an et geléngt. Déi üblech Diagnos ass e kaputt NAT, an déi üblech Diagnos ass falsch. Wat sech geännert huet, ass datt eng Säit geléiert huet wou déi aner wunnt.

Wëssen iwwer den Endpunkt, net Erreechbarkeet

Eng WireGuard-Säit fänkt keen Handshake un bis se weess wou se en hinschécke soll. D’Konfiguratioun gëtt dat als Endpunkt aus Adress a Port, an de lafenden Zoustand verfollegt den Endpunkt un deen et just gleeft.

wg show dréckt béid Säiten vun deem Bild, an eng Säit ouni Endpunkt an der Ausgab kann näischt ufänken, esou richteg wéi hire ëffentleche Schlëssel an déi erlaabten Präfixer sinn. Vergläicht d’Sicht vum Client mat där vum Server ier Dir eng Regel ännert, well déi zwee sech dacks net eens si wien wat weess.

Wéi eng Säit en Endpunkt geléiert

WireGuard ass bewosst roueg. Wann e korrekt authentifizéierte Pak vun enger Adress ukommt, déi d’Säit net erwaart huet, aktualiséiert d’Ëmsetzung den Endpunkt vun där Säit op déi nei Quell, an esou funktionéiert Roaming op engem Laptop deen Netzwierker wiesselt. Dëst Verhalen erkläert d’Ofhängegkeet vun der Richtung: wann de Server als éischt schéckt a säi Pak de Client erreecht, geléiert de Client déi aktuell Adress vum Server a kann äntweren. Bis dohinner huet en néierens wou en hinschécke kann. De Mechanismus ass authentifizéierte Roaming an net eng Ofkierzung vu Vertrauen beim éischte Gebrauch, well de Pak huet musse gülteg sinn ier den Endpunkt sech beweegt huet.

D’Dokumentatioun vun den Tools fir wg beschreift déi Aktualiséierung, an et lount sech eng Kéier ze liesen wann Dir ronderëm wëllt designen.

Zoustandsbehaft Iwwersetzung bréngt hir eege Richtung mat

Wou UDP duerch en iwwersetzende Gateway geet, leet de Gateway Zoustand fir deen éischte Pak un, deen en gesäit. RFC 4787 beschreift dëst Verhalen an d’Zäitlimiten déi d’Zuuerdnung schlussendlech ewechhuelen. Eng onaktiv Zuuerdnung leet of, an en ageende Pak vun der wäiter Säit gëtt dann vum Gateway verworf ier en den Host erreecht. En Tunnel deen de ganze Moien funktionéiert huet, hält nomëtteg op ze äntweren genau aus dësem Grond.

Dëst ass en zweete an onofhängege Mechanismus deen déiselwecht richtungsbezunn Symptomer produzéiert. Souwuel d’Wëssen iwwer den Endpunkt wéi och den Iwwersetzungszoustand mussen richteg sinn, an deen een ze reparéieren reparéiert deen aneren net.

Konfiguréiert d’Richtung déi Dir wierklech wëllt

Fir e Client dee Verbindung muss ufänken, setzt den Endpunkt vum Server an d’Säite-Sektioun vum Client a loosst en do. Sech drop ze verloossen datt de Server als éischt schéckt heescht sech op en Zoufall an der Uerdnung vum Verkéier ze verloossen deen an engem rouege Netzwierk ännere wäert. D’Konfiguratioun sollt déi virgesinn Richtung uginn, net se entdecken.

Fir eng Säit hannert enger Iwwersetzung déi erreechbar muss bleiwen, aktivéiert en dauerhafte keepalive op där Säit. En keepalive all 25 Sekonnen ass den üblechen Ufankswäert, an en Zweck ass d’Zuuerdnung op ze halen an net den Tunnel ze testen. Wielt eng Säit déi en dréit, well en op béide Säiten aktivéieren den Trafic an de Logkaméidi verduebelt ouni d’Resultat ze verbesseren.

Vergläicht den Zoustand virun an nom Ausléiser

Halt déi zwou Siichten am Moment wou et feelt fest, an dann nach eng Kéier nodeems de Server schéckt. Déi éischt Kommando weist Endpunkten an den Alter vum Handshake. Déi zweet weist ob et en Iwwersetzungsantrag fir de Port gëtt. D’Opnam weist wéi eng Richtung tatsächlech iwwer de Kabel gaangen ass, an d’Routëkontroll bestätegt datt de Client dee Verkéier net ganz aneschtwou hinnere schéckt.

wg show
conntrack -L -p udp 2>/dev/null | grep 51820
tcpdump -ni any -c 20 'udp port 51820'
ip route get 198.51.100.7

Notéiert d’Endpunktkolonn an den Iwwersetzungsantrag zesummen. Eng Säit ouni Endpunkt an en Gateway ouni Zuuerdnung sinn zwee verschidde Feeler. Nëmmen een vun deenen zwee gëtt duerch e keepalive reparéiert.