Il-qabda ta’ idejn ta’ WireGuard tirnexxi, imma l-ebda tweġiba ma tiġi lura

Qabdiet ta’ idejn riċenti huma aħbar tajba, u talba ferm iżgħar mis-sentenza li n-nies iridu jiktbu. Iż-żewġ naħat skambjaw messaġġi ta’ qabda ta’ idejn awtentikati. Pakkett ta’ applikazzjoni xorta jeħtieġ jasal fid-destinazzjoni interna tiegħu u jerġa’ lura.

Dan id-distakk bejn pjan ta’ kontroll f’saħħtu u pjan ta’ data sieket huwa s-suġġett kollu hawn. Żewġ qari tal-istess kontaturi jgħidulek f’liema naħa tiegħu int.

Qabda ta’ idejn turi ċ-ċwievet, mhux il-kunsinna

Il-qabda ta’ idejn ta’ WireGuard hija ftehim dwar iċ-ċwievet bl-awtentikazzjoni. Tirnexxi hekk kif iż-żewġ naħat jistgħu jilħqu lil xulxin u jkollhom ċwievet validi. Ir-routing, il-politika tal-firewall u d-destinazzjoni stess huma mistoqsijiet li l-qabda ta’ idejn qatt ma tistaqsi.

Allura tunnel jista’ jkun stabbilit perfettament waqt li kull pakkett fih jiġi skartat. Pakkett intern b’routing ħażin u tweġiba li tieħu triq oħra jidhru l-istess mill-ġenb tal-klijent.

Indirizz intern wieħed huwa l-test kollu

Agħżel destinazzjoni waħda u żomm magħha. L-indirizz tat-tunnel tan-naħa l-oħra stess huwa l-każ l-aktar faċli, u host warajha jżid eżattament qabża waħda. Li tibdel bejn it-tnejn mingħajr ma tinnota l-bidla jagħti riżultati li ħadd ma jista’ jqabbel.

Imbagħad ħares lejn ir-rotta li tagħżel il-klijent. Rotta lokali aktar speċifika tista’ tibgħat il-pakkett x’imkien ieħor qabel ma WireGuard jiġi mistoqsi xejn, u dan jiġri kull darba li l-LAN tad-dar tikkoinċidi mal-firxa remota.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Indirizz li jiġi riżolt għall-interface fiżika diġà wieġeb il-mistoqsija. It-tunnel mhu qed jiskarta xejn. Il-pakkett qatt ma daħal fih.

Il-kontaturi huma evidenza, mhux verdett

wg show jirrapporta l-bytes mibgħuta u riċevuti għal kull naħa, u ż-żewġ numri jiċċaqalqu b’mod indipendenti. Ħu qari, agħmel talba waħda permessa, imbagħad ħu qari ieħor fl-istess minuta.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Bagit li jogħla filwaqt li l-wasla tibqa’ ċatta hija l-firma ta’ talba mingħajr tweġiba. Ma jgħidx jekk it-talba ġietx iffiltata, jekk id-destinazzjoni kinitx mitfija, jew jekk it-tweġiba ħarġitx fi triq oħra. Dawk huma tliet investigazzjonijiet li jaqsmu sintomu wieħed. Aqsamhom qabel ma tbiddel kwalunkwe konfigurazzjoni.

Anki numru fiss ta’ bytes mhuwiex limitu ta’ suċċess. Il-valuri tal-kontaturi jsegwu t-traffiku, u li tittratta numru wieħed bħala prova tas-saħħa tipproduċi ħmerijiet kunfidenti.

In-naħa l-oħra tivverifika hi stess il-pakkett tar-ritorn

In-naħa remota taċċetta pakkett intern biss meta s-sors jaqa’ fil-allowedips ta’ dik in-naħa. Rotta li teżisti fuq min jibgħat mhijiex biżżejjed. Entrata tas-sors nieqsa fuq min jirċievi tiskarta t-traffiku tar-ritorn fis-skiet.

Il-firewalls tal-host joqogħdu wara dik il-verifika. Regola ta’ forwarding li tippermetti l-interface tat-tunnel imma mhux is-subnet intern taċċetta l-qabda ta’ idejn u tirrifjuta l-pakkett. Mill-ġenb tal-klijent dan jidher eżattament bħal naħa mejta. Host b’żewġ interfaces jista’ wkoll iwieġeb mis-sors ħażin, u allura n-naħa tarmi t-tweġiba li qatt ma kienet tistenna.

Żomm l-esperiment onest

L-ittestjar ta’ profil ta’ aċċess remot mill-istess netwerk tad-dar li suppost jasal għalih iħarreġ triq differenti minn dik intiża. Mur għan-netwerk estern u nnota l-prefiss lokali tiegħu, sabiex iż-żewġ ġirjiet ikunu jistgħu jitqabblu.

Skambju żgħir li jirnexxi lanqas ma jeskludi kull problema tat-triq. Pakketti akbar jistgħu jonqsu fejn jgħaddu dawk żgħar, u filter li jaqbel mad-daqs jew mal-protokoll jista’ jaġixxi b’mod differenti taħt tagħbija.

Żomm il-qabda ta’ idejn bħala l-fażi magħrufa li taħdem u kompli ’l quddiem minnha. L-evidenza utli li jmiss hija fejn tieqaf talba interna waħda, mhux sett ġdid ta’ ċwievet u dawra oħra ta’ tbassir.