WireGuard-Peer net erreechbar wärend en aneren funktionéiert: Checklist

Een WireGuard-Peer leet Verkéier duerch an en zweete mécht den Handshake awer erreecht ni eppes hannert dem Tunnel. De Peer dee funktionéiert seet Iech, datt d'Interface, den UDP-Port an de Schlëssel vum Server wuel an der Rei sinn. Hie seet Iech näischt iwwer d'AllowedIPs vum zweete Peer, seng bannenzeg Quelladress oder d'Viruleedungsregelen tëschent deenen zwee. Schafft d'Lëscht an der Rei of a stitt beim éischte Schrëtt op, deem seng Bedingung net erfëllt ass.

Schrëtt 1: Schreift de Wee op, dee de Pak soll huelen

Zwee Clienten um selwechten Hub erreechen sech net automatesch. An engem Hub-an-Spoke-Design kritt de Server de Pak op wg0 an muss en erëm aus wg0 zu deem anere Peer viruleeden, wat IP-Viruleedung an eng Viruleedungsregel erfuerdert. An engem direkten Peer-zu-Peer-Design brauch all Säit den Endpunkt vun der anerer an d'Tunneladress vun der anerer bannent den AllowedIPs. Entscheet Iech, wéi een Design Dir debuggt, ier Dir eng Konfiguratioun liest.

Deen erwaarte Wee seet Iech och wou Dir kucke musst. Wann de Pak iwwer den Hub soll goen, ass dee Schrëtt deen ausgeet entweder d'AllowedIPs vum Sender, d'Viruleedung um Hub oder d'AllowedIPs vum Empfänger. Wann en direkt soll goen, ass den Hub irrelewant an d'Endpunktfelder op béide Peeren zielen.

Schrëtt 2: Vergläicht d'AllowedIPs op béide Säiten, net just op enger

WireGuard benotzt d'AllowedIPs gläichzäiteg als Routingtabell an als Zougrëffslëscht. Beim Sende gëtt d'Ziladress an den AllowedIPs vum Peer nogekuckt fir den Tunnel ze wielen; beim Empfange muss déi bannenzeg Quelladress bannent den AllowedIPs vum sendende Peer leien, soss gëtt de Pak verworf. En Deelberäich deen op enger vun de Säiten feelt gëtt dat selwecht Symptom: den Transport funktionéiert, d'Laascht verschwënnt.

Liest de liewegen Zoustand amplaz vum Fichier, well en Nei-Luede kann stëll feelgeschlo sinn: sudo wg show wg0 allowed-ips. Op dem Server muss den Andrag vum Peer dee feelt seng Tunneladress enthalen, zum Beispill 10.90.0.3/32. Op dem Client muss den Andrag vum Server-Peer d'Zil enthalen dat Dir testt, egal ob et d'Tunneladress vum Hub oder d'Userenn-Netzwierk ass. Iwwerlappend Beräicher maachen d'Ufro zweedeiteg a kënnen en Peer auswielen deen Dir net gemengt hutt, dofir haalt se getrennt.

Schrëtt 3: Kontrolléiert déi bannenzeg Quelladress

En Client deen 10.90.0.3 iwwer wg0 routet awer Päck vu senger Wi-Fi-Adress aus schéckt gëtt vum Empfänger verworf, weil d'Quell net mat den AllowedIPs vum Peer iwwereneen kënnt. Confirméiert wat de Kernel tatsächlech wielt mat ip route get 10.90.0.3 from 10.90.0.2, a confirméiert d'Adress déi dem Tunnelinterface zougewisen ass mat ip -brief addr show wg0.

Um empfangende Linux-Host ass d'Reverse-Path-Filterung en zweeten Dier. En strenge rp_filter op dem Interface deem seng Route zréck gehéiert kann Tunnelverkéier verwerfen deem säi Retourwee net mat deem Interface iwwereneen kënnt op deem en ukomm ass. Kontrolléiert de wirksame Wäert ier Dir en ausschalt; an ville Topologië ass déi richteg Korrektur eng Route, net e geluewerte Filter.

Schrëtt 4: Iwwerpréift d'Viruleedung um Hub an de Retourwee

Wann den Hub tëschent Peeren muss viruleeden, brauch de Kernel net.ipv4.ip_forward=1, an d'Firewall muss de virugeluedene Floss acceptéieren: eran op wg0, eraus op wg0, vun der Tunneladress vum Sender bis zu där vum Empfänger. E heefege Feeler ass eng Inputregel déi UDP 51820 acceptéiert awer keng Viruleedungsregel], dofir geléngt den Handshake an d'Laascht stierft. Lëscht d'wirksam Regele mat sudo nft list ruleset oder dem Equivalent fir Äre Firewall-Manager op.

Dann kontrolléiert d'Äntwert. Den Zilhost muss eng Route zréck zum Sender hunn, entweder iwwer den Hub oder iwwer säin eegene Gateway. Wann den Hub och den Tunnel-Subnetz NAT, confirméiert datt d'Iwwersetzung fir de virugeluedene Floss gëllt an datt d'Äntwert den Hub erreecht ier den Zoustand ofleeft. E Feeler an enger Richtung deen no engem Schlësselproblem ausgesäit ass dacks just dëse Retourwee.

Schlussendlech trennt den Handshake vun den Donnéeën. En Peer deen den Handshake fäerdeg mécht awer bei groussen Iwwerdroungen hänkt, huet meeschtens en MTU- oder MSS-Problem op genau deem Wee, net en AllowedIPs-Problem. Testt fir d'éischt mat engem klengen Ping, duerno mat engem a voller Gréisst, a vergläicht déi zwee Peeren.

Schrëtt 5: Ännert eng Saach a haalt de funktionéierende Peer intakt

Maacht eng eenzeg Ännerung um Wee dee feelt a testt béid Peeren nei. D'AllowedIPs vun all Peer duerch 0.0.0.0/0 ersetzen ass de séierste Wee fir de Peer ze briechen deen schonn funktionéiert huet, well et d'Routingentscheedung fir de ganze Verkéier op deem Interface ännert. Ännert deen een Andrag, lued nei a liest de liewegen Zoustand zréck.

Notéiert wéi ee Wee geléngt huet, wéi enen feelgeschloen ass, an déi genee Kommandoausgab fir jiddereen. Dee Verglach ass méi wäert wéi e allgemenge Bericht datt d'VPN futti ass, an et ass dat éischt wat déi nächst Persoun froe wäert.