Ракувањето на WireGuard успева, но одговорот не се враќа

Неодамнешните ракувања се добра вест и многу помало тврдење од реченицата што луѓето сакаат да ја напишат. Страните разменија автентицирани пораки за ракување. Пакетот на апликацијата сепак мора да стигне до својата внатрешна дестинација и да се врати.

Овој јаз помеѓу здрава контролна рамнина и тивка податочна рамнина е целата тема овде. Две читања на истите бројачи ви кажуваат на која страна сте.

Ракувањето докажува клучеви, не достава

Ракувањето на WireGuard е договор за клучеви со автентикација. Успева штом страните можат да се стигнат и имаат валидни клучеви. Рутирањето, политиката на огнениот ѕид и самата дестинација се прашања што ракувањето никогаш не ги поставува.

Така тунелот може совршено да е воспоставен додека секој пакет внатре во него се отфрла. Погрешно рутиран внатрешен пакет и одговор што оди по друг пат изгледаат исто од страната на клиентот.

Една внатрешна адреса е целиот тест

Изберете една дестинација и останете при неа. Сопствената адреса на тунелот на спротивната страна е најлесниот случај, а домаќинот зад неа додава точно еден скок. Префрлањето меѓу нив без забележување на промената дава резултати што никој не може да ги спореди.

Потоа погледнете ја рутата што ја избира клиентот. Поконкретна локална рута може да го прати пакетот на друго место пред воопшто да се праша WireGuard, а тоа се случува секогаш кога домашната LAN се преклопува со далечниот опсег.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Адреса што се разрешува на физичкиот интерфејс веќе одговорила на прашањето. Тунелот не отфрла ништо. Пакетот никогаш не влегол во него.

Бројачите се доказ, не пресуда

wg show известува за бајти пратени и примени по страна, а тие два броја се движат независно. Земете читање, направете едно дозволено барање, потоа земете друго читање во истата минута.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Растот на праќањето со рамен прием е потписот на барање без одговор. Тоа не кажува дали барањето е филтрирано, дали дестинацијата била исклучена или дали одговорот заминал по друга рута. Тоа се три истраги со еден симптом. Одделете ги пред да смените која било конфигурација.

Ниту фиксен број бајти не е праг на успех. Вредностите на бројачите го следат сообраќајот, а третирањето на еден број како доказ за здравје дава самоуверена бесмислица.

Спротивната страна сама го проверува повратниот пакет

Далечната страна прифаќа внатрешен пакет само кога изворот паѓа во нејзиниот allowedips. Рута што постои кај праќачот не е доволна. Недостасувачки запис за изворот кај примачот тивко го отфрла повратниот сообраќај.

Огнените ѕидови на домаќинот стојат зад таа проверка. Правило за проследување што го дозволува интерфејсот на тунелот но не и внатрешната подмрежа го прифаќа ракувањето и го одбива пакетот. Од страната на клиентот тоа изгледа точно како мртва спротивна страна. Домаќин со два интерфејса може исто така да одговори од погрешен извор, и тогаш страната го отфрла одговорот што никогаш не го очекувала.

Чувајте го експериментот чесен

Тестирањето профил за далечински пристап од истата домашна мрежа што треба да ја достигне вежба друг пат од предвидениот. Преминете на надворешната мрежа и запишете го нејзиниот локален префикс, за да можат двата извршувања да се споредат.

Мала успешна размена исто така не ги исклучува сите проблеми со патот. Поголеми пакети може да не поминат онаму каде минуваат мали, а филтер што се совпаѓа по големина или протокол може да се однесува поинаку под оптоварување.

Задржете го ракувањето како позната работна фаза и одете понатаму од неа. Следниот корисен доказ е каде запира едно внатрешно барање, а не нов сет клучеви и уште еден круг нагаѓања.