WireGuard өгөгдөл илгээдэг ч буцаж юу ч авдаггүй: аль тал?

Хүлээн авах тоолуур тэг дээр үлдэх үед өсөж буй илгээх тоолуурууд нь чиглэлийг дүрсэлдэг, оношилгоог биш. Ижил уншилт нь хамтрагч хэзээ ч гар барилтыг дуусгаагүй, очих газар буруу хамтрагчийг сонгосон, хол талд буцах зам байхгүй, шүүлтүүр хариуг гэр рүү буцах замд нь хаях үед гарч ирдэг. Тэдгээрийн нэг бүр нь өөр газар засагдана.

Ажлыг богиносгодог харьцуулалт бол туннелээс хэзээ ч гараагүй хүсэлт ба хэзээ ч буцаж ирээгүй хариу хоёрын хоорондох юм. Зөв интерфэйс дээрх нэг бичлэг хоёрын хооронд шийднэ.

Тоолуурууд эзлэхүүнийг дүрсэлдэг, гэмтлийн чиглэлийг биш

WireGuard-ийн тоолуурууд интерфэйс хамтрагчид юу өгсөн, түүнээс юу авсныг бүртгэдэг. Тэд аль очих газар, аль хамтрагч эсвэл солилцооны аль хагас нь бүтэлгүйтсэнийг хэлдэггүй. Арын трафик нийлбэрийг улам мэдээлэлгүй болгодог, учир нь зарим байт нь холболт хадгалах мессеж эсвэл холбоогүй урсгал байж болно. Тэдгээрийг интерфэйс идэвхтэй гэсэн үзүүлэлт болгон уншаад, дараа нь нотолгоо гэж үзэхээ болино уу.

Эхний хэрэгтэй баримт бол гар барилт одоогийн байгаа эсэх. Үүнгүйгээр энэ хамтрагчид юу ч шифрлэгдээгүй бөгөөд хүлээн авах тоолуур хөдлөх шалтгаан байхгүй.

Хамтрагчийн сонголт эсвэл хариуны зам: хоёр тайлбар

Эхний тайлбар нь зам өөр тийш заасан эсвэл хамтрагчийн зөвшөөрөгдсөн угтварууд очих газрыг хаагаагүй учраас пакет зорьсон хамтрагчдаа хэзээ ч хүрээгүй гэсэн үг. Хоёр дахь нь пакет хүрсэн боловч хариу буцаж чадаагүй, энэ нь хол талын маршрутчлалын асуудал юм. Хүснэгт нь цэг бүр дээр юу ажиглахаас хамааран тэдгээрийг ялгадаг.

Хүснэгтийг дээрээс уншина уу. Гар барилт байхгүй бол түлхүүр, төгсгөлийн цэг, гадаад зам руу чиглүүлнэ, учир нь одоохондоо шалгах өөр зүйл байхгүй. Хүсэлт сервер дээр харагдаж буй одоогийн гар барилт асуудлыг буцах чиглэлд шилжүүлж, тэнд очих газрын өөрийн маршрутын хүснэгт шийднэ. Сервер дээр хэзээ ч харагдахгүй хүсэлт бол сонголтын асуудал бөгөөд хоёр хамтрагчийн зөвшөөрөгдсөн угтваруудыг хамгийн түрүүнд харьцуулах ёстой.

Эдгээр дөрвөн мөрийн хоёр нь клиент дээр, хоёр нь сервер дээр засагдана. Аль хос дотор байгаагаа мэдэх нь ажлын ихэнх хэсэг юм.

Хариунууд хаана алга болдог

Хариу очих газраас гарч, серверийн туннелийн интерфэйст хүрч, зөвшөөрөгдсөн хаягууд нь клиентийн дотоод хаягтай таарч буй хамтрагчид зориулж шифрлэгддэг. Хэрэв энэ таарц бүтэлгүйтвэл хариуг чимээгүй хаядаг бөгөөд энэ нь клиентийн талаас яг сүлжээний гэмтэл мэт харагддаг. Хариу шифрлэгдсэн бөгөөд клиентийн өөрийн шүүлтүүр түүнийг татгалзвал шинж тэмдэг дахин ижил байна. Хоёр тохиолдолд тоолуур биш, бичлэг хэрэгтэй.

Энэ алдааны хамгийн хүчтэй хэлбэр нь клиентийн төлөө пакетуудыг дамжуулдаг боловч клиентийн дотоод мужид буцах замгүй сервер юм. Тэр хүсэлтийг хүлээж авч, хариуг өөрийн үндсэн гарц руу илгээдэг ба туннель түүнийг хэзээ ч хардаггүй. Серверт нэмсэн өргөн орчуулгын дүрэм замыг засахын оронд тэр гэмтлийг нуудаг.

Нэг очих газрыг эхнээс нь дуустал туршина уу

Хамтрагчийн мужаас нэг очих газрыг сонгож, гар барилт тодорхой одоогийн үед туршина уу. Доорх командууд хамтрагчийн төлөв, сонгосон зам, солилцооны хоёр талыг уншдаг. Бичлэгийг шифрлэгдсэн пакетууд бодитоор ашигладаг интерфэйс дээр ажиллуулна уу.

wg show wg0 latest-handshakes
wg show wg0 transfer
ip route get 10.60.9.5
sudo tcpdump -ni wg0 host 10.60.9.5

Туннелийн интерфэйс дээр хүсэлтийг харуулж, юу ч буцаж ирэхгүй байгаа бичлэг нь серверийн талын хариу бөгөөд очих газрын маршрутын хүснэгт бол дараа нь харах газар. Хэрэв огт юу ч харагдахгүй бол пакет өөр замаар явсан тул орон нутгийн зам сэжигтэй байна. Хоёр бичлэгт харагдах боловч аппликейшнд ахиц гарахгүй солилцоо нь асуултыг пакетын хэмжээ эсвэл интерфэйсийн статистик хэзээ ч харуулдаггүй шүүлтүүр рүү шилжүүлдэг. Туршилтад нэг очих газар, нэг клиентийг баримтлаарай, учир нь хоёр дахь хувьсагч нотолгоог дахин сэтгэгдэл болгоно.

Зөвшөөрөгдсөн хаяг ажиллаж байхад нэр бүтэлгүйтвэл хариу нь туннельд биш, DNS дотор байна. Зөвхөн том дамжуулалт гацах юм бол пакетын хэмжээг тусад нь шалгана уу.