WireGuard tidak memaparkan handshake terkini: apa yang perlu diperiksa dahulu

Medan handshake terkini yang kosong biasanya bermaksud antara muka belum menyelesaikan handshake sejak ia naik, yang kurang memberitahu tentang konfigurasi daripada yang kelihatan. WireGuard kekal senyap sehingga paket perlu keluar melalui antara muka, jadi peer melahu tanpa apa-apa untuk dihantar melaporkan tepat itu. Pastikan sama ada sesuatu benar-benar ditawarkan sebelum anda memeriksa kunci.

Ujiannya ialah paket dibenarkan menuju destinasi yang sepatutnya dibawa oleh peer. Segala-galanya pada skrin status itu menggambarkan niat, bukan aktiviti.

Antara muka melahu tiada apa untuk dilaporkan

WireGuard melakukan handshake dengan malas: paket pertama yang memerlukan terowong mencetuskan pertukaran, dan antara muka kekal senyap sehingga itu. Peer yang dikonfigurasikan dan tidak pernah digunakan menunjukkan handshake kosong, sifar bait diterima dan jurang yang bertambah sejak yang terakhir. Keadaan itu sihat untuk klien melahu dan membimbangkan hanya jika anda menjangka trafik sudah mengalir. Periksa juga pembilang pemindahan, kerana ia memisahkan tiada-yang-dihantar daripada dicuba-dan-gagal.

Jika pembilang berada pada sifar di kedua-dua belah, masalahnya di hulu terowong. Tiada apa yang sampai ke antara muka untuk mencetuskan apa-apa.

Cetusan trafik yang dibenarkan dibawa oleh peer

Pilih alamat dalam prefiks yang dibenarkan peer, pada mesin setempat, dan pastikan jadual penghalaan akan menghantarnya melalui antara muka. Destinasi di luar prefiks itu menghasilkan permintaan berhalakan biasa tanpa sebarang penglibatan WireGuard. Gunakan perkhidmatan yang menjawab dengan pantas, seperti ping atau sambungan TCP pendek, supaya percubaan mempunyai permulaan dan penghujung yang kelihatan. Kemudian baca semula baris handshake dan bukannya menonton skrin dan menunggu.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

Pertanyaan laluan lebih penting daripada ping. Jika ia menyebut antara muka fizikal, paket itu tidak pernah masuk ke terowong dan handshake kosong ialah jawapan penghalaan, bukan kriptografi. Baiki laluan sebelum menyahpepijat peer.

Bandingkan pasangan kunci dan titik akhir

Sebaik sahaja trafik benar-benar ditawarkan, identiti ialah pemeriksaan seterusnya. Kunci peribadi setempat mesti sepadan dengan kunci awam yang dibenarkan oleh pihak jauh, kunci awam jauh yang dikonfigurasikan mesti mengenal pasti peer yang dimaksudkan, dan mana-mana kunci yang dikongsi terlebih dahulu mesti sepadan di kedua-dua hujung. Perbezaan satu aksara dalam kunci base64 menghasilkan peer yang kelihatan dikonfigurasikan dan tidak pernah menyelesaikan pertukaran. Bandingkan dengan rekod peruntukan dan bukannya menjana semula kunci, kerana kunci baharu membatalkan setiap peer yang mempercayai kunci lama.

Titik akhir memerlukan penelitian yang sama: nama hos, alamat, port UDP dan keluarga yang digunakan untuk mencapainya. Alamat yang lapuk atau port yang salah menghasilkan kesenyapan dan bukan mesej.

Pantau laluan UDP luar

Handshake bergerak sebagai UDP menuju titik akhir, jadi laluan luar mesti membawanya. Arahan di bawah memeriksa sama ada pendengar wujud, sama ada tindanan setempat menghantar datagram, dan titik akhir mana yang dikonfigurasikan. Jalankan tangkapan semasa mencetuskan trafik, bukan sebelum itu.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Tangkapan yang menunjukkan permulaan tanpa balasan menunjuk ke luar mesin, kerana hujung jauh sama ada tidak mendengar, ditapis, atau dialamatkan secara salah. Tangkapan yang tidak menunjukkan apa-apa bermaksud paket itu tidak pernah keluar, yang membawa anda kembali kepada laluan dan kepada mana-mana tanda soket yang terlibat. Jika anda mentadbir kedua-dua hujung, kaitkan percubaan mengikut cap masa dengan tangkapan sempit pada pelayan dan bukannya yang umum. Ujian port TCP tidak membuktikan apa-apa di sini, kerana protokolnya hanya UDP.

Sebaik sahaja handshake muncul, uji aplikasi melalui terowong, kerana pertukaran yang selesai membuktikan identiti dan kebolehcapaian, bukan daya pemprosesan yang boleh digunakan atau DNS yang betul. Simpan output status sebelum dan selepas perubahan, dan perbezaannya menjadi bukti anda.