WireGuard rokasspiediens izdodas, bet atbilde neatgriežas

Nesenie rokasspiedieni ir laba ziņa un daudz mazāks apgalvojums nekā teikums, ko cilvēki grib uzrakstīt. Puses apmainījās ar autentificētiem rokasspiediena ziņojumiem. Lietotnes paketei joprojām jāsasniedz savs iekšējais galamērķis un jāatgriežas.

Šī plaisa starp veselu vadības plakni un klusu datu plakni ir visa tēma šeit. Divi to pašu skaitītāju nolasījumi pateiks, kurā tās pusē jūs esat.

Rokasspiediens pierāda atslēgas, nevis piegādi

WireGuard rokasspiediens ir atslēgu vienošanās ar autentifikāciju. Tas izdodas, tiklīdz puses var viena otru sasniegt un tām ir derīgas atslēgas. Maršrutēšana, ugunsmūra politika un pats galamērķis ir jautājumi, ko rokasspiediens nekad neuzdod.

Tāpēc tunelis var būt lieliski izveidots, kamēr katra pakete tajā tiek izmesta. Nepareizi maršrutēta iekšējā pakete un atbilde, kas iet citu ceļu, no klienta puses izskatās vienādi.

Viena iekšējā adrese ir viss tests

Izvēlieties vienu galamērķi un palieciet pie tā. Pretējās puses paša tuneļa adrese ir vienkāršākais gadījums, un dators aiz tās pievieno tieši vienu lēcienu. Pārslēgšanās starp abiem, neatzīmējot izmaiņas, dod rezultātus, ko neviens nevar salīdzināt.

Pēc tam apskatiet maršrutu, ko izvēlas klients. Konkrētāks vietējais maršruts var nosūtīt paketi citur vēl pirms WireGuard vispār tiek jautāts, un tas notiek vienmēr, kad mājas LAN pārklājas ar attālo diapazonu.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Adrese, kas atrisinās uz fizisko saskarni, jau ir atbildējusi uz jautājumu. Tunelis neko neizmet. Pakete tajā nekad nav iekļuvusi.

Skaitītāji ir pierādījumi, nevis spriedums

wg show ziņo katras puses nosūtītās un saņemtās baitas, un šie divi skaitļi kustas neatkarīgi. Veiciet nolasījumu, izpildiet vienu atļautu pieprasījumu un tad tajā pašā minūtē veiciet vēl vienu nolasījumu.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Augoša sūtīšana ar plakanu saņemšanu ir neatbildēta pieprasījuma paraksts. Tas nepasaka, vai pieprasījums tika filtrēts, vai galamērķis bija izslēgts, vai atbilde aizgāja pa citu maršrutu. Tie ir trīs izmeklējumi ar vienu simptomu. Atdaliet tos, pirms maināt jebkuru konfigurāciju.

Arī fiksēts baitu skaits nav veiksmes slieksnis. Skaitītāju vērtības seko trafikam, un viena skaitļa uzskatīšana par veselības pierādījumu rada pašpārliecinātu bezjēdzību.

Pretējā puse pati pārbauda atgriezto paketi

Attālā puse pieņem iekšējo paketi tikai tad, kad avots iekrīt tās allowedips. Maršruts, kas pastāv sūtītājā, nav pietiekams. Trūkstošs avota ieraksts saņēmējā klusi izmet atgriešanās trafiku.

Datora ugunsmūri atrodas aiz šīs pārbaudes. Pārsūtīšanas noteikums, kas atļauj tuneļa saskarni, bet ne iekšējo apakštīklu, pieņem rokasspiedienu un noraida paketi. No klienta puses tas izskatās tieši kā mirusi pretējā puse. Dators ar divām saskarnēm var arī atbildēt no nepareizā avota, un tad puse izmet atbildi, kuru tā nekad nav gaidījusi.

Turiet eksperimentu godīgu

Attālās piekļuves profila pārbaude no tā paša mājas tīkla, kuru tam jāsasniedz, trenē citu ceļu nekā iecerēto. Pārejiet uz ārējo tīklu un pierakstiet tā vietējo prefiksu, lai abus palaidienus varētu salīdzināt.

Maza veiksmīga apmaiņa arī neizslēdz visas ceļa problēmas. Lielākas paketes var ciest neveiksmi tur, kur mazās iziet, un filtrs, kas atbilst izmēram vai protokolam, zem slodzes var uzvesties citādi.

Turiet rokasspiedienu kā zināmu strādājošu posmu un virzieties tālāk no tā. Nākamais noderīgais pierādījums ir tas, kur apstājas viens iekšējais pieprasījums, nevis jauns atslēgu komplekts un vēl viens minējumu aplis.