Il-handshake ta’ WireGuard jaħdem imma m’hemmx internet: segwi l-pakkett

Il-mina hija attiva, wg show jirrapporta handshake riċenti, tista’ tagħmel ping lill-indirizz tal-mina tas-server, u xejn lil hinn ma jwieġeb. L-ewwel istint huwa li terġa’ tiġġenera ċ-ċwievet jew terġa’ taqsam il-konfigurazzjoni. Dan ibiddel eżatt dik il-parti tal-passaġġ li diġà hija ppruvata li taħdem.

Handshake komplut jgħid li ż-żewġ naħat jaqblu fuq iċ-ċwievet, li UDP jasal sal-punt finali, u li r-routing kriptografiku jaċċetta l-pakkett. Ma jgħid xejn dwar jekk il-pakkett jistax jitlaq mis-server wara.

Mela segwi pakkett wieħed minflok taqta’ bl-addoċċ. Hemm erba’ postijiet fejn jista’ jmut, u kull wieħed iħalli traċċa differenti.

X’jipprova verament il-handshake

WireGuard huwa protokoll UDP li jistabbilixxi sessjoni b’handshake Noise u mbagħad jikkripta l-pakketti għal sieħeb. Meta wg show juri handshake ta’ ftit sekondi u counter tat-trasferiment li qed jiżdied, il-punt finali, iċ-ċwievet u ċ-ċavetta pubblika tas-sieħeb huma kollha korretti.

Dak li ma jippruvax huwa li l-klijent tiegħek qed jibgħat traffiku lejn l-internet fl-interface xorta waħda, li s-server huwa lest li jgħaddih ’il quddiem, jew li tweġiba tista’ ssib it-triq lura. Dawn huma deċiżjonijiet tar-routing tal-kernel u tal-firewall, u jittieħdu barra mill-mina.

Dan huwa għaliex il-ping lejn l-indirizz tal-mina tas-server huwa test daqshekk qarrieqi. Dak il-pakkett huwa indirizzat lis-server innifsu, allura jispiċċa lokalment. Qatt m’għandu bżonn ġbir, qatt traduzzjoni u qatt rotta tar-ritorn mill-internet.

AllowedIPs hija deċiżjoni tar-routing

Fuq il-klijent, AllowedIPs jagħmel żewġ xogħlijiet. Hija t-tabella tar-routing taċ-ċavetta kriptografika li tiddeċiedi liema indirizzi tad-destinazzjoni jintbagħtu fil-mina ta’ dan is-sieħeb, u hija l-lista tal-indirizzi tas-sors li s-sieħeb se jaċċetta mingħandek. Jekk il-konfigurazzjoni tal-klijent telenka biss 10.8.0.0/24, id-destinazzjonijiet pubbliċi qatt ma jidħlu fl-interface u r-rotta default tas-soltu tiegħek iġġorrhom barra mill-mina. Imbagħad il-mina taħdem perfettament u ma tagħmel xejn minn dak li xtaqt.

Ħares lejn dak li verament installa l-klijent minflok dak li tgħid il-fajl tal-konfigurazzjoni:

wg show wg0 allowed-ips
ip route get 1.1.1.1

It-tieni kmand huwa dak deċiżiv. Jekk it-tweġiba ssemmi l-interface fiżika tiegħek u l-gateway tas-soltu, il-pakkett mhuwiex qed jiġi tunnellat u l-ebda bidla fuq in-naħa tas-server mhija se tissewwi dan. Żid 0.0.0.0/0 għal IPv4 u ::/0 għal IPv6 separatament; regola li taqbad kollox għal familja waħda tħalli lill-oħra fit-triq oriġinali tagħha, u dan huwa kawża komuni ta’ mina IPv4 li taħdem u tfittxija IPv6 li waqfet.

Fejn il-pakkett imut fuq il-gateway

Jekk ir-rotta hija korretta u l-pakkett xorta ma jmur imkien, dan jasal għand is-server u jieqaf hemm. Erba’ verifiki jkopru l-biċċa l-kbira tal-gateways.

Ġbir. sysctl net.ipv4.ip_forward li jirritorna 0 hija t-tweġiba klassika, u ħafna distribuzzjonijiet għadhom fuq 0 b’mod default. Trid tkun 1, u trid tiġi ssettjata b’mod permanenti fi fajl sysctl u mhux b’kmand li jisparixxi meta jerġa’ jibda. Il-ġbir ta’ IPv6 huwa swiċċ separat.

Il-politika tal-filtru. Katina FORWARD b’politika ta’ drop default se tarmi t-traffiku tal-mina filwaqt li tippermetti traffiku lejn il-host innifsu, li jaqbel eżatt mas-sintomu. Aqra s-sett ta’ regoli ħaj, mhux fajl salvat: nft list ruleset jew iptables -S.

Traduzzjoni jew routing. Klijenti b’indirizzi tal-mina privati għandhom bżonn jew NAT tas-sors fuq l-interface tal-ħruġ tas-server, jew prefiss routjat li n-netwerk ta’ fuq jaf kif jibagħtu lura. L-għażla bejniethom issegwi l-pjan tal-indirizzi. Iż-żieda ta’ MASQUERADE ma’ netwerk li diġà jirrotta l-prefiss tiegħek lura hija bla ħsara imma bla skop, u t-tħollija barra fejn ma teżistix rotta tħalli t-tweġibiet indirizzati lejn firxa privata li ma tistax tiġi routjata.

It-triq lura. F’disinni routjati, ir-router ta’ fuq għandu bżonn rotta li tipponta lejn is-server tiegħek. In-netwerk tal-fornitur jista’ wkoll jimblukkaha: diversi clouds jattivaw verifika tas-sors u tad-destinazzjoni fuq l-istanza, li tarmi bil-kwiet pakketti li s-sors tagħhom mhuwiex l-indirizz tal-istanza stess sakemm din il-verifika tiġi diżattivata.

DNS ifalli b’mod differenti mir-routing

Pakkett lejn indirizz magħruf u tfittxija tal-isem huma żewġ fallimenti separati, u l-messaġġi tal-iżbalji jqarrqu f’direzzjonijiet opposti. Jekk ping 1.1.1.1 jaħdem u l-browser ma jistax jillowdja xejn, ir-rotta hija tajba u r-riżoluzzjoni tal-ismijiet mhijiex. Jekk il-ping innifsu jfalli, id-DNS mhuwiex rilevanti u int lura fis-sezzjoni preċedenti.

wg-quick jista’ jistabbilixxi resolver mil-linja DNS = fil-konfigurazzjoni, u systemd-resolved għandu mġiba tiegħu għal kull link. VPN li jikteb mill-ġdid ir-resolver b’indirizz li jintlaħaq biss ġewwa l-mina se jfalli kull tfittxija fil-mument li l-mina taqa’, li jidher qisu l-mina qed tkisser l-internet.

Ordni li jipproduċi provi

Ħaddem il-verifika fuq in-naħa tal-klijent l-ewwel, għax huwa kmand wieħed u jneħħi nofs il-possibbiltajiet. Imbagħad ikkonferma jekk is-server huwiex maħsub bħala ħruġ lejn l-internet xorta waħda; gateway mibni għal aċċess privat mhuwiex miksur meta d-destinazzjonijiet pubbliċi jfallu.

Fuq is-server, osserva l-interface waqt li tibgħat ping mill-klijent: tcpdump -ni wg0 icmp għandu juri t-talba, u tcpdump -ni eth0 icmp għandu juri li qed toħroġ, tradotta jew le. Jekk tidher fl-ewwel u qatt fit-tieni, il-waqfa hija lokali għas-server. Jekk toħroġ u l-ebda tweġiba ma terġa’ lura, il-problema hija iktar ’il fuq, u dik hija konverżazzjoni oħra.

Fl-aħħar, agħmel biex il-korrezzjoni tgħaddi minn restart. Il-ġbir jappartjeni fi fajl sysctl, ir-regoli tal-firewall jappartjenu fis-servizz li jillowdjhom, u r-rotot tal-klijent jappartjenu fil-konfigurazzjoni li tqajjem l-interface u mhux f’shell li se tinsa. Erġa’ qabbad, irrepeti l-istess żewġ testijiet, u kkonferma li l-counters jiċċaqalqu.