एक WireGuard पीअर पोहोचत नाही तर दुसरा काम करतो: तपासणी यादी

एक WireGuard पीअर रहदारी पास करतो आणि दुसरा हातमिळवणी पूर्ण करतो पण बोगद्यामागील कोणत्याही गोष्टीपर्यंत कधीही पोहोचत नाही। काम करणारा पीअर तुम्हाला सांगतो की इंटरफेस, UDP पोर्ट आणि सर्व्हरची किल्ली बहुधा ठीक आहेत। तो दुसऱ्या पीअरच्या AllowedIPs, त्याच्या आतील स्रोत पत्त्या किंवा त्यांच्यातील फॉरवर्डिंग नियमांबद्दल काहीही सांगत नाही। यादी क्रमाने पूर्ण करा आणि ज्या पहिल्या पायरीची अट अपयशी होते तिथे थांबा।

पायरी 1: पॅकेटने घ्यायचा मार्ग लिहा

एकाच हबवरील दोन क्लायंट स्वयंचलितपणे एकमेकांपर्यंत पोहोचत नाहीत। हब-आणि-स्पोक रचनेत सर्व्हर पॅकेट wg0 वर घेतो आणि ते पुन्हा wg0 मधून दुसऱ्या पीअरकडे फॉरवर्ड करावे लागते, यासाठी IP फॉरवर्डिंग आणि फॉरवर्ड नियम आवश्यक आहे। थेट पीअर-टू-पीअर रचनेत प्रत्येक बाजूला दुसऱ्याचा एंडपॉइंट आणि दुसऱ्याचा बोगदा पत्ता AllowedIPs मध्ये हवा। कोणतीही संरचना वाचण्यापूर्वी तुम्ही कोणती रचना डीबग करत आहात ते ठरवा।

अपेक्षित मार्ग तुम्हाला कुठे पाहावे हेही सांगतो। पॅकेटने हब ओलांडायचे असेल तर अपयशी हॉप एकतर पाठवणाऱ्याची AllowedIPs, एकतर हबचे फॉरवर्डिंग, एकतर घेणाऱ्याची AllowedIPs आहे। ते थेट जायचे असेल तर हब अप्रासंगिक आहे आणि दोन्ही पीअरची एंडपॉइंट फील्ड महत्त्वाची आहेत।

पायरी 2: AllowedIPs दोन्ही बाजूंनी तुलना करा, फक्त एका बाजूने नाही

WireGuard AllowedIPs ला राउटिंग टेबल आणि प्रवेश यादी अशा दोन्ही स्वरूपात वापरतो। पाठवताना बोगदा निवडण्यासाठी गंतव्य पत्ता पीअरच्या AllowedIPs मध्ये शोधला जातो; घेताना आतील स्रोत पत्ता पाठवणाऱ्या पीअरच्या AllowedIPs मध्ये पडला पाहिजे, अन्यथा पॅकेट टाकून दिले जाते। कोणत्याही बाजूला श्रेणी गायब असल्यास तेच लक्षण दिसते: वाहतूक चालते, पेलोड अदृश्य होते।

फाइलऐवजी जिवंत स्थिती वाचा, कारण पुन्हा लोड करणे शांतपणे अपयशी झाले असेल: sudo wg show wg0 allowed-ips। सर्व्हरवर अपयशी पीअरच्या नोंदीत त्याचा बोगदा पत्ता असावा, उदाहरणार्थ 10.90.0.3/32। क्लायंटवर सर्व्हर पीअरच्या नोंदीत तुम्ही चाचणी करत असलेले गंतव्य असावे, ते हबचा बोगदा पत्ता असो वा दूरचे सबनेट। एकमेकांवर चढणाऱ्या श्रेणी शोध अस्पष्ट करतात आणि तुम्हाला नको असलेला पीअर निवडू शकतात, म्हणून त्या वेगळ्या ठेवा।

पायरी 3: आतील स्रोत पत्ता तपासा

जो क्लायंट 10.90.0.3 ला wg0 मधून राउट करतो पण पॅकेट स्वतःच्या Wi-Fi पत्त्यावरून पाठवतो, त्याला घेणारा नाकारेल, कारण स्रोत पीअरच्या AllowedIPs शी जुळत नाही। कर्नल प्रत्यक्षात काय निवडतो ते ip route get 10.90.0.3 from 10.90.0.2 ने आणि बोगदा इंटरफेसला दिलेला पत्ता ip -brief addr show wg0 ने निश्चित करा।

घेणाऱ्या Linux होस्टवर उलट-मार्ग गाळणी हे दुसरे द्वार आहे। मागील मार्गाची मालकी असलेल्या इंटरफेसवर कठोर rp_filter असल्यास ज्या इंटरफेसवरून आले त्याच्याशी परतावा मार्ग जुळत नसलेली बोगदा रहदारी टाकून दिली जाऊ शकते। बंद करण्यापूर्वी प्रभावी मूल्य तपासा; अनेक टोपोलॉजींमध्ये योग्य दुरुस्ती मार्ग असते, सैल केलेली गाळणी नाही।

पायरी 4: हबचे फॉरवर्डिंग आणि परतावा मार्ग तपासा

हबला पीअरमध्ये फॉरवर्ड करायचे असल्यास कर्नलला net.ipv4.ip_forward=1 लागते, आणि फायरवॉलने फॉरवर्ड केलेला प्रवाह स्वीकारला पाहिजे: wg0 वर आत, wg0 वरून बाहेर, पाठवणाऱ्याच्या बोगदा पत्त्यापासून घेणाऱ्याच्या पत्त्यापर्यंत। सामान्य अपयश म्हणजे UDP 51820 स्वीकारणारा इनपुट नियम पण फॉरवर्ड नियम नसणे], त्यामुळे हातमिळवणी यशस्वी होते आणि पेलोड मरतो। sudo nft list ruleset किंवा तुमच्या फायरवॉल व्यवस्थापकाच्या समतुल्याद्वारे प्रभावी नियम सूचीबद्ध करा।

नंतर उत्तर तपासा। गंतव्य होस्टकडे पाठवणाऱ्याकडे परतावा मार्ग असावा, एकतर हबमार्फत एकतर स्वतःच्या गेटवेमार्फत। हबने बोगदा सबनेटवर NAT पण केले तर अनुवाद फॉरवर्ड केलेल्या प्रवाहावर लागू होतो आणि स्थिती संपण्यापूर्वी उत्तर हबपर्यंत पोहोचते याची खात्री करा। किल्लीच्या समस्येसारखे दिसणारे एकमार्गी अपयश अनेकदा हाच परतावा मार्ग असतो।

शेवटी, हातमिळवणी डेटापासून वेगळी करा। हातमिळवणी पूर्ण करणारा पण मोठ्या हस्तांतरणांवर अडकणारा पीअर सहसा त्याच मार्गावर MTU किंवा MSS समस्या असतो, AllowedIPs समस्या नाही। आधी छोट्या पिंगने, नंतर पूर्ण आकाराच्या पिंगने चाचणी करा आणि दोन्ही पीअरची तुलना करा।

पायरी 5: एक गोष्ट बदला आणि काम करणारा पीअर अभंग ठेवा

अपयशी मार्गावर एकच बदल करा आणि दोन्ही पीअर पुन्हा चाचणी करा। प्रत्येक पीअरची AllowedIPs 0.0.0.0/0 ने बदलणे हा आधीच काम करणारा पीअर तोडण्याचा सर्वात वेगवान मार्ग आहे, कारण त्यामुळे त्या इंटरफेसवरील सर्व रहदारीसाठी राउटिंग निर्णय बदलतो। ती एकच नोंद संपादित करा, पुन्हा लोड करा आणि जिवंत स्थिती पुन्हा वाचा।

कोणता मार्ग यशस्वी झाला, कोणता अपयशी झाला आणि प्रत्येकाचे नेमके कमांड आउटपुट नोंदवा। ती तुलना VPN तुटले आहे या सर्वसाधारण अहवालापेक्षा जास्त मौल्यवान आहे, आणि पुढची व्यक्ती सर्वात आधी तीच विचारेल।