Jabat tangan WireGuard berjaya, tetapi tiada balasan yang kembali

Jabat tangan terkini adalah berita baik, dan dakwaan yang jauh lebih kecil daripada ayat yang orang mahu tulis. Kedua-dua rakan bertukar mesej jabat tangan yang disahkan. Paket aplikasi masih perlu sampai ke destinasinya yang dalam dan kembali.

Jurang antara satah kawalan yang sihat dan satah data yang senyap itulah keseluruhan topik di sini. Dua bacaan pembilang yang sama memberitahu anda di sebelah mana anda berada.

Jabat tangan membuktikan kunci, bukan penghantaran

Jabat tangan WireGuard ialah persetujuan kunci dengan pengesahan. Ia berjaya sebaik sahaja kedua-dua rakan dapat saling mencapai dan memegang kunci yang sah. Penghalaan, dasar firewall dan destinasi itu sendiri ialah soalan yang tidak pernah ditanya oleh jabat tangan.

Jadi terowong boleh terbentuk dengan sempurna sementara setiap paket di dalamnya dibuang. Paket dalam yang salah dihalakan dan balasan yang mengambil laluan lain kelihatan sama dari sisi klien.

Satu alamat dalam ialah keseluruhan ujian

Pilih satu destinasi dan kekal dengannya. Alamat terowong rakan seberang itu sendiri ialah kes paling mudah, dan hos di belakangnya menambah tepat satu lompatan. Bertukar antara keduanya tanpa mencatat perubahan menghasilkan keputusan yang tiada siapa dapat membandingkan.

Kemudian lihat laluan yang dipilih klien. Laluan tempatan yang lebih khusus boleh menghantar paket ke tempat lain sebelum WireGuard ditanya langsung, dan itu berlaku setiap kali LAN rumah bertindih dengan julat jauh.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Alamat yang diselesaikan ke antara muka fizikal sudah menjawab soalan itu. Terowong tidak membuang apa-apa. Paket itu tidak pernah masuk ke dalamnya.

Pembilang ialah bukti, bukan keputusan

wg show melaporkan bait yang dihantar dan diterima bagi setiap rakan, dan kedua-dua nombor bergerak secara berasingan. Ambil satu bacaan, buat satu permintaan yang dibenarkan, kemudian ambil bacaan lain dalam minit yang sama.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Penghantaran yang meningkat dengan penerimaan yang rata ialah tanda tangan permintaan tanpa balasan. Ia tidak memberitahu sama ada permintaan itu ditapis, sama ada destinasi itu mati, atau sama ada balasan keluar melalui laluan lain. Itu tiga siasatan dengan satu gejala. Pisahkan sebelum menukar apa-apa konfigurasi.

Bilangan bait yang tetap juga bukan ambang kejayaan. Nilai pembilang mengikut trafik, dan memperlakukan satu nombor sebagai bukti kesihatan menghasilkan karut yang yakin.

Rakan seberang menyemak sendiri paket balasan

Rakan jauh hanya menerima paket dalam apabila sumbernya jatuh di dalam allowedips rakan itu. Laluan yang wujud pada penghantar tidak mencukupi. Entri sumber yang hilang pada penerima membuang trafik balasan secara senyap.

Firewall hos berada di belakang semakan itu. Peraturan penghantaran yang membenarkan antara muka terowong tetapi bukan subnet dalam menerima jabat tangan dan menolak paket itu. Dari sisi klien itu kelihatan tepat seperti rakan yang mati. Hos dengan dua antara muka juga boleh membalas dari sumber yang salah, dan rakan itu kemudian membuang balasan yang tidak pernah dijangka.

Jaga eksperimen itu jujur

Menguji profil akses jauh dari rangkaian rumah yang sama yang sepatutnya dicapai melatih laluan yang berbeza daripada yang dimaksudkan. Beralih ke rangkaian luaran dan catat prefiks tempatannya, supaya kedua-dua larian boleh dibandingkan.

Pertukaran kecil yang berjaya juga tidak menolak semua masalah laluan. Paket yang lebih besar boleh gagal di tempat paket kecil lulus, dan penapis yang sepadan dengan saiz atau protokol boleh berkelakuan berbeza di bawah beban.

Kekalkan jabat tangan sebagai peringkat yang diketahui berfungsi dan maju dari situ. Bukti berguna seterusnya ialah di mana satu permintaan dalam berhenti, bukan set kunci baharu dan pusingan tekaan yang lain.