L-handshake ta' WireGuard jaħdem, is-servizz le

L-handshake jitlesta, il-klijent juri contatur tat-trasferiment reċenti, u xorta waħda talba lejn servizz fuq l-istess server tfalli. Din il-kombinazzjoni tħawwad lin-nies, għax il-mina tidher li qed taħdem. Dak li mhuwiex ippruvat huwa l-kunsinna lokali: il-pakkett wasal fil-host, u l-host għadu jrid jaċċettah fuq is-socket it-tajba u jgħaddih lil proċess li għandu permess iwieġeb. Għaddi minn dawn it-tliet punti ta' kontroll fl-ordni.

Ieqaf fl-ewwel wieħed li ma jżommx, u tħallix ir-regoli għall-oħrajn.

L-handshake jipprova biss il-mina

L-handshake ta' WireGuard iwaqqaf ċwievet bejn il-pari u jawtorizza t-traffiku għall-firxiet li kull par elenka. Ma jgħid xejn dwar liema proċessi qed jisimgħu fuq is-server, u lanqas dwar jekk il-firewall tal-host jaċċettax pakketti indirizzati lejn wieħed mill-indirizzi tiegħu stess.

Proprju din l-aħħar distinzjoni hija l-aktar li tiġi injorata: it-traffiku lejn il-host stess huwa input lokali, filwaqt li t-traffiku li jgħaddi mill-host lejn x'imkien ieħor huwa tibgħit 'il quddiem. Dawn jimmaniġġjawhom katini tal-firewall differenti u settings differenti. Li tivverifika l-katina żbaljata jiswa waranofsinhar u jrodd lura contaturi li jidhru innoċenti.

Aqra min jisma' u r-rotta

Fuq il-klijent, ikkonferma li l-indirizz tal-mina tas-server jiġi routed fil-mina. Fuq is-server, ikkonferma li teżisti socket fuq l-indirizz li qed juża l-klijent, u li l-proċess warajh huwa dak li kellu jkun.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

Min jisma' fuq 127.0.0.1 qatt mhu se jwieġeb talba indirizzata lil 10.66.0.1, tkun xi tkun il-permessi tal-firewall. Min jisma' fuq l-indirizz ġenerali jwieġeb, sakemm regola ma timblukkaha. Għalhekk il-lista tas-sockets issolvi nofs il-każijiet qabel ma tiġi eżaminata xi regola. Il-port u l-indirizz flimkien jiddeċiedu jekk talba tistax tasal.

Qabbel l-indirizz li juża l-klijent mal-indirizz li s-server fil-fatt għandu fuq l-interface tal-mina. Konfigurazzjoni skaduta fuq kull naħa tipproduċi talba routed b'mod korrett lejn par li m'għandux dak l-indirizz.

Applika regoli għad-dħul lokali, mhux għat-tibgħit 'il quddiem

Jekk il-pakkett jasal u s-socket teżisti, il-fruntiera li tibqa' hija l-politika tad-dħul. Regola li tippermetti tibgħit 'il quddiem ma tippermettix kunsinna lokali, u regola limitata għal interface waħda tista' ma taqbilx mal-isem tal-interface tal-mina li tistenna.

Ittestja b'port wieħed permess lejn is-servizz maħsub minflok ma tiftaħ il-host. Imbagħad iċċekkja l-awtorizzazzjoni tal-applikazzjoni nnifisha: lista ta' permessi, rekwiżit ta' kont jew rabta ma' isem ta' host partikolari jistgħu jirrifjutaw talba li n-netwerk wassal b'suċċess.

Ħalli l-verifiki taċ-ċertifikat f'posthom. Identità taċ-ċertifikat mhux mistennija hija informazzjoni dwar liema host wieġeb, mhux ostaklu biex tgħaddi minnu. Li tikklikkja minn fuqha taħbi l-unika ħjiel li jidentifika s-servizz żbaljat.

Issepara l-fallimenti ta' isem, daqs u identità

Servizz li jaħdem bl-indirizz iżda jfalli bl-isem huwa problema tad-DNS, u t-tiswija tappartjeni għall-konfigurazzjoni tar-resolver li tintbagħat lill-klijent, mhux għall-firewall. Servizz li jwieġeb talbiet żgħar iżda jeħel fuq tweġibiet akbar jindika d-daqs tal-pakkett u l-MTU, li hija investigazzjoni kompletament differenti.

Żball HTTPS li jsemmi l-host żbaljat normalment ifisser li t-talba waslet għal servizz ieħor, spiss għax prokura jew min jisma' ieħor jippossjedi dak il-port. Aqra s-suġġett taċ-ċertifikat u qabblu mal-host li ridt tilħaq. Dak il-paragun ma jiswa xejn u spiss itemm l-investigazzjoni.

Innota liema punt ta' kontroll falla: socket, regola tad-dħul jew politika tal-applikazzjoni. Dik il-linja waħda tiddistingwi ħsara fin-netwerk minn deċiżjoni ta' awtorizzazzjoni. Hija wkoll tipprevjeni lill-persuna li jmiss milli tiftaħ ports li qatt ma kienu l-problema.