Handshake WireGuard berfungsi, perkhidmatan tidak

Handshake selesai, klien menunjukkan pembilang pemindahan terkini, namun permintaan kepada perkhidmatan pada pelayan yang sama masih gagal. Gabungan itu mengelirukan orang kerana terowong jelas berfungsi. Yang belum dibuktikan ialah penghantaran tempatan: paket telah sampai ke hos, dan hos masih perlu menerimanya pada soket yang betul dan menyerahkannya kepada proses yang mempunyai kebenaran untuk menjawab. Semak ketiga-tiga titik pemeriksaan itu mengikut urutan.

Berhenti pada yang pertama yang tidak dipenuhi, dan jangan tambah peraturan untuk yang lain.

Handshake hanya membuktikan terowong

Handshake WireGuard menetapkan kunci antara rakan dan membenarkan trafik untuk julat yang disenaraikan oleh setiap rakan. Ia tidak menyatakan apa-apa tentang proses yang mendengar pada pelayan, dan tidak juga sama ada tembok api hos menerima paket yang dialamatkan kepada salah satu alamatnya sendiri.

Perbezaan terakhir itulah yang paling kerap terlepas: trafik ke hos itu sendiri ialah input tempatan, manakala trafik yang melalui hos ke tempat lain ialah pemajuan. Kedua-duanya dikendalikan oleh rantaian tembok api dan tetapan yang berbeza. Menyemak rantaian yang salah menghabiskan satu petang dan mengembalikan pembilang yang kelihatan tidak bersalah.

Baca pendengar dan laluan

Pada klien, sahkan bahawa alamat terowong pelayan dihalakan ke dalam terowong. Pada pelayan, sahkan bahawa soket wujud pada alamat yang digunakan klien, dan proses di belakangnya ialah yang dimaksudkan.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

Pendengar pada 127.0.0.1 tidak akan sekali-kali menjawab permintaan yang dialamatkan ke 10.66.0.1, apa pun yang dibenarkan oleh tembok api. Pendengar pada alamat umum akan menjawab, kecuali peraturan menyekatnya. Senarai soket oleh itu menyelesaikan separuh kes sebelum mana-mana peraturan diperiksa. Port dan alamat bersama-sama menentukan sama ada permintaan boleh mendarat.

Bandingkan alamat yang digunakan klien dengan alamat yang benar-benar dimiliki pelayan pada antara muka terowong. Konfigurasi usang pada mana-mana pihak menghasilkan permintaan yang dihalakan dengan betul kepada rakan yang tidak mempunyai alamat itu.

Gunakan peraturan untuk input tempatan, bukan pemajuan

Jika paket tiba dan soket wujud, sempadan yang tinggal ialah dasar input. Peraturan yang membenarkan pemajuan tidak membenarkan penghantaran tempatan, dan peraturan yang terhad kepada satu antara muka mungkin tidak sepadan dengan nama antara muka terowong yang anda jangkakan.

Uji dengan satu port yang dibenarkan ke perkhidmatan yang dimaksudkan daripada membuka hos. Kemudian semak kebenaran aplikasi itu sendiri: senarai dibenarkan, keperluan akaun atau pengikatan kepada nama hos tertentu boleh menolak permintaan yang telah berjaya dihantar oleh rangkaian.

Biarkan pemeriksaan sijil kekal. Identiti sijil yang tidak dijangka ialah maklumat tentang hos mana yang menjawab, bukan halangan untuk dipintas. Mengklik melaluinya menyembunyikan satu-satunya petunjuk yang mengenal pasti perkhidmatan yang salah.

Pisahkan kegagalan nama, saiz dan identiti

Perkhidmatan yang berfungsi mengikut alamat tetapi gagal mengikut nama ialah masalah DNS, dan pembetulannya terletak pada konfigurasi penyelesai yang dihantar kepada klien, bukan pada tembok api. Perkhidmatan yang menjawab permintaan kecil tetapi tersekat pada respons yang lebih besar menunjukkan saiz paket dan MTU, yang merupakan penyiasatan yang sama sekali berbeza.

Ralat HTTPS yang menyebut hos yang salah biasanya bermakna permintaan telah sampai ke perkhidmatan lain, selalunya kerana proksi atau pendengar lain memiliki port itu. Baca subjek sijil dan bandingkan dengan hos yang anda ingin tuju. Perbandingan itu tidak memakan kos dan sering menamatkan penyiasatan.

Catat titik pemeriksaan mana yang gagal: soket, peraturan input atau dasar aplikasi. Satu baris itu membezakan kerosakan rangkaian daripada keputusan kebenaran. Ia juga menghalang orang seterusnya daripada membuka port yang tidak pernah menjadi masalah.