WireGuard neparāda jaunāko rokasspiedienu: ko pārbaudīt vispirms

Tukšs jaunākā rokasspiediena lauks parasti nozīmē, ka saskarne kopš palaišanas nav pabeigusi nevienu rokasspiedienu, kas par konfigurāciju pasaka mazāk, nekā šķiet. WireGuard klusē, līdz paketei jāiziet caur saskarni, tāpēc dīkstāvē esošs peer bez kā nosūtīt ziņo tieši to. Noskaidrojiet, vai tiešām kaut kas tika piedāvāts, pirms pārbaudāt atslēgas.

Tests ir atļauta pakete pret galamērķi, kas peer jāpārvadā. Viss pārējais šajā statusa ekrānā apraksta nodomu, nevis darbību.

Dīkstāvē esošai saskarnei nav ko ziņot

WireGuard rokasspiedienus veic slinki: pirmā pakete, kurai nepieciešams tunelis, sāk apmaiņu, un saskarne līdz tam klusē. Peer, kas tika konfigurēts un nekad nav lietots, rāda tukšu rokasspiedienu, nulle saņemtu baitu un pieaugošu starpību kopš pēdējā. Šis stāvoklis ir veselīgs dīkstāvē esošam klientam un satraucošs tikai tad, ja gaidījāt, ka trafiks jau ir plūdis. Pārbaudiet arī pārsūtīšanas skaitītājus, jo tie atdala nekas-nav-sūtīts no mēģināts-un-neizdevās.

Ja skaitītāji abās pusēs ir uz nulles, problēma ir virs tuneļa. Nekas nesasniedza saskarni, lai kaut ko izraisītu.

Izraisiet trafiku, ko peer drīkst pārvadāt

Izvēlieties adresi peer atļauto prefiksu iekšienē, vietējā mašīnā, un apstipriniet, ka maršrutēšanas tabula to sūtīs caur saskarni. Galamērķis ārpus šiem prefiksiem rada parastu maršrutētu pieprasījumu bez jebkādas WireGuard līdzdalības. Izmantojiet pakalpojumu, kas atbild ātri, piemēram, ping vai īsu TCP savienojumu, lai mēģinājumam būtu redzams sākums un beigas. Pēc tam vēlreiz izlasiet rokasspiediena rindu, nevis skatieties ekrānā un gaidiet.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

Maršruta vaicājums ir svarīgāks par ping. Ja tas nosauc fizisko saskarni, pakete nekad nav iekļuvusi tunelī, un tukšais rokasspiediens ir maršrutēšanas atbilde, nevis kriptogrāfiska. Salabojiet maršrutu pirms peer atkļūdošanas.

Salīdziniet atslēgu pāri un galapunktu

Kad trafiks patiešām tiek piedāvāts, nākamā pārbaude ir identitāte. Vietējai privātajai atslēgai jāatbilst publiskajai atslēgai, ko atļauj otrā puse, konfigurētajai attālajai publiskajai atslēgai jāidentificē paredzētais peer, un jebkurai iepriekš kopīgotai atslēgai jāsakrīt abos galos. Vienas rakstzīmes atšķirība base64 atslēgā rada peer, kas izskatās konfigurēts un nekad nepabeidz apmaiņu. Salīdziniet ar nodrošināšanas ierakstu, nevis ģenerējiet atslēgas no jauna, jo jauna atslēga padara nederīgu katru peer, kas uzticējās vecajai.

Galapunktam nepieciešama tāda pati pārbaude: resursdatora nosaukums, adrese, UDP ports un saime, kas izmantota, lai to sasniegtu. Novecojusi adrese vai nepareizs ports dod klusumu, nevis ziņojumu.

Sekojiet ārējam UDP ceļam

Rokasspiediens ceļo kā UDP pret galapunktu, tāpēc ārējam ceļam tas jāpārvadā. Tālāk esošās komandas pārbauda, vai ir klausītājs, vai vietējā steka nosūtīja datagrammu un kurš galapunkts ir konfigurēts. Palaidiet uztveršanu, kamēr izraisāt trafiku, nevis pirms tam.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Uztveršana, kas rāda iniciēšanu bez atbildes, norāda ārpus mašīnas, jo tālā puse vai nu neklausās, vai ir filtrēta, vai adresēta nepareizi. Uztveršana, kas neko nerāda, nozīmē, ka pakete nekad nav izgājusi, kas atgriež pie maršruta un pie jebkuras spēlē esošās socket atzīmes. Ja pārvaldāt abus galus, korelējiet mēģinājumu pēc laika zīmoga ar šauru uztveršanu serverī, nevis vispārīgu. TCP porta tests šeit neko nepierāda, jo protokols ir tikai UDP.

Tiklīdz parādās rokasspiediens, pārbaudiet lietotni caur tuneli, jo pabeigta apmaiņa pierāda identitāti un sasniedzamību, nevis izmantojamu caurlaidību vai pareizu DNS. Saglabājiet statusa izvadi pirms un pēc izmaiņām, un starpība kļūs par jūsu pierādījumu.