WireGuard rankos paspaudimas pavyksta, bet atsakymas nebegrįžta

Neseni rankos paspaudimai yra gera žinia ir daug mažesnis teiginys nei sakinys, kurį žmonės nori parašyti. Abi pusės apsikeitė autentifikuotomis rankos paspaudimo žinutėmis. Programos paketas vis tiek turi pasiekti savo vidinę paskirties vietą ir grįžti.

Šis atotrūkis tarp sveikos valdymo plokštumos ir tylios duomenų plokštumos yra visa tema čia. Du tų pačių skaitiklių rodmenys pasakys, kurioje jo pusėje esate.

Rankos paspaudimas įrodo raktus, o ne pristatymą

WireGuard rankos paspaudimas yra raktų susitarimas su autentifikavimu. Jis pavyksta vos tik pusės gali viena kitą pasiekti ir turi galiojančius raktus. Maršrutizavimas, užkardos taisyklės ir pati paskirties vieta yra klausimai, kurių rankos paspaudimas niekada neužduoda.

Taigi tunelis gali būti puikiai sukurtas, o kiekvienas jame esantis paketas išmetamas. Neteisingai maršrutizuotas vidinis paketas ir atsakymas, einantis kitu keliu, iš kliento pusės atrodo taip pat.

Vienas vidinis adresas yra visas testas

Pasirinkite vieną paskirties vietą ir laikykitės jos. Priešinės pusės savo tunelio adresas yra lengviausias atvejis, o už jos esantis kompiuteris prideda lygiai vieną šuolį. Keitimasis tarp jų nepažymint pakeitimo duoda rezultatus, kurių niekas negali palyginti.

Tada pažiūrėkite į maršrutą, kurį pasirenka klientas. Konkretesnis vietinis maršrutas gali nusiųsti paketą kitur dar prieš tai, kai WireGuard apskritai paklausiama, ir taip nutinka visada, kai namų LAN persidengia su nuotoliniu diapazonu.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Adresas, kuris išsprendžiamas į fizinę sąsają, jau atsakė į klausimą. Tunelis nieko neišmeta. Paketas į jį niekada nepateko.

Skaitikliai yra įrodymai, o ne nuosprendis

wg show praneša kiekvienos pusės išsiųstus ir gautus baitus, ir tie du skaičiai juda nepriklausomai. Paimkite rodmenį, atlikite vieną leidžiamą užklausą, tada per tą pačią minutę paimkite kitą rodmenį.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Didėjantis siuntimas esant plokščiam gavimui yra neatsakytos užklausos parašas. Tai nesako, ar užklausa buvo filtruota, ar paskirties vieta buvo išjungta, ar atsakymas išėjo kitu maršrutu. Tai trys tyrimai su vienu simptomu. Atskirkite juos prieš keisdami bet kokią konfigūraciją.

Fiksuotas baitų skaičius taip pat nėra sėkmės slenkstis. Skaitiklių reikšmės seka srautą, o vieno skaičiaus laikymas sveikatos įrodymu duoda pasitikėjimo kupiną nesąmonę.

Priešinė pusė pati tikrina grįžtantį paketą

Nuotolinė pusė priima vidinį paketą tik tada, kai šaltinis patenka į jos allowedips. Maršruto, kuris egzistuoja siuntėjo pusėje, nepakanka. Trūkstamas šaltinio įrašas gavėjo pusėje tyliai išmeta grįžtantį srautą.

Kompiuterio užkardos stovi už šios patikros. Persiuntimo taisyklė, kuri leidžia tunelio sąsają, bet ne vidinį potinklį, priima rankos paspaudimą ir atmeta paketą. Iš kliento pusės tai atrodo lygiai taip pat kaip negyva priešinė pusė. Kompiuteris su dviem sąsajomis taip pat gali atsakyti iš neteisingo šaltinio, ir tada pusė išmeta atsakymą, kurio niekada nesitikėjo.

Laikykite eksperimentą sąžiningą

Nuotolinės prieigos profilio bandymas iš to paties namų tinklo, kurį jis turi pasiekti, lavina kitą kelią nei numatytasis. Pereikite į išorinį tinklą ir užsirašykite jo vietinį priešdėlį, kad abu paleidimus būtų galima palyginti.

Mažas sėkmingas apsikeitimas taip pat nepašalina visų kelio problemų. Didesni paketai gali nepraeiti ten, kur praeina maži, o filtras, atitinkantis dydį ar protokolą, esant apkrovai gali elgtis kitaip.

Laikykite rankos paspaudimą žinomu veikiančiu etapu ir eikite toliau nuo jo. Kitas naudingas įrodymas yra tai, kur sustoja viena vidinė užklausa, o ne naujas raktų rinkinys ir dar vienas spėjimų ratas.