WireGuard ma jurix l-aħħar handshake: x’għandek tiċċekkja l-ewwel

Qasam vojt tal-aħħar handshake normalment ifisser li l-interface ma lestiet ebda handshake minn meta telgħet, li jgħid inqas dwar il-konfigurazzjoni milli jidher. WireGuard tibqa’ siekta sakemm pakkett ikun irid joħroġ mill-interface, għalhekk peer inattiv mingħajr xejn x’jibgħat jirrapporta eżattament dan. Stabbilixxi jekk xi ħaġa verament ġietx offruta qabel ma tispezzjona ċ-ċwievet.

It-test huwa pakkett permess lejn destinazzjoni li l-peer għandu jġorr. Kull ħaġa oħra fuq dak l-iskrin tal-istat tiddeskrivi intenzjoni, mhux attività.

Interface inattiva m’għandha xejn x’tirrapporta

WireGuard tagħmel handshakes b’mod għażżien: l-ewwel pakkett li jeħtieġ it-tunnel jibda l-iskambju, u l-interface tibqa’ siekta sa dakinhar. Peer li ġie kkonfigurat u qatt ma ntuża juri handshake vojt, żero bytes riċevuti u distakk li qed jikber mill-aħħar wieħed. Dak l-istat huwa b’saħħtu għal klijent inattiv u ta’ tħassib biss jekk kont qed tistenna li t-traffiku diġà skorra. Iċċekkja wkoll il-kontaturi tat-trasferiment, għax jifirdu xejn-mibgħut minn ippruvat-u-falla.

Jekk il-kontaturi jkunu fuq iż-żero fuq iż-żewġ naħat, il-problema hija aktar ’il fuq mit-tunnel. Xejn ma wasal għall-interface biex iħarrek xi ħaġa.

Ħarrek traffiku li l-peer tista’ ġġorr

Agħżel indirizz ġewwa l-prefissi permessi tal-peer, fuq il-magna lokali, u kkonferma li t-tabella tal-routing tibgħatuh mill-interface. Destinazzjoni barra dawk il-prefissi tipproduċi talba routed ordinarja mingħajr ebda involviment ta’ WireGuard. Uża servizz li jwieġeb malajr, bħal ping jew konnessjoni TCP qasira, sabiex l-attentat ikollu bidu u tmiem viżibbli. Imbagħad aqra mill-ġdid il-linja tal-handshake minflok tħares lejn l-iskrin u tistenna.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

It-talba tar-rotta tiswa iktar mill-ping. Jekk issemmi l-interface fiżika, il-pakkett qatt ma daħal fit-tunnel u l-handshake vojt huwa tweġiba ta’ routing, mhux kriptografika. Sejjaħ ir-rotta qabel ma tiddebitta l-peer.

Qabbel il-par ċavetta u l-endpoint

Ladarba t-traffiku jiġi offrut tassew, l-identità hija l-kontroll li jmiss. Iċ-ċavetta privata lokali trid tikkorrispondi għaċ-ċavetta pubblika li tawtorizza n-naħa l-oħra, iċ-ċavetta pubblika remota kkonfigurata trid tidentifika l-peer maħsub, u kwalunkwe ċavetta maqsuma minn qabel trid taqbel fuq iż-żewġt itruf. Differenza ta’ karattru wieħed f’ċavetta base64 tipproduċi peer li jidher ikkonfigurat u qatt ma jlesti skambju. Qabbel mar-rekord tal-provvista minflok terġa’ tiġġenera ċ-ċwievet, għax ċavetta ġdida tinvalida kull peer li kien jafda l-qadima.

L-endpoint jeħtieġ l-istess skrutinju: isem il-host, indirizz, port UDP u l-familja użata biex tasal għalih. Indirizz skadut jew il-port ħażin jipproduċu silenzju minflok messaġġ.

Innota l-mogħdija UDP ta’ barra

Il-handshake jivvjaġġa bħala UDP lejn l-endpoint, għalhekk il-mogħdija ta’ barra trid iġġorru. Il-kmandi hawn taħt jiċċekkjaw jekk hemmx semmiegħ, jekk il-stack lokali bagħatx id-datagram, u liema endpoint huwa kkonfigurat. Mexxi l-qbid waqt li tħarrek it-traffiku, mhux qablu.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Qbid li juri l-bidu mingħajr tweġiba jindika barra mill-magna, għax it-tarf ’il bogħod jew mhux qed jisma’, jew huwa ffiltrat, jew indirizzat ħażin. Qbid li ma juri xejn ifisser li l-pakkett qatt ma telaq, li jġibek lura għar-rotta u għal kwalunkwe marka tas-socket li tkun qed tintuża. Meta tamministra ż-żewġt itruf, ikkorrela l-attentat bil-marka tal-ħin ma’ qbid dejjaq fuq is-server minflok wieħed ġenerali. Test tal-port TCP ma jipprova xejn hawn, għax il-protokoll huwa UDP biss.

Hekk kif jidher handshake, ittestja applikazzjoni mit-tunnel, għax skambju lest jipprova identità u aċċessibilità, mhux throughput użabbli jew DNS korrett. Żomm l-output tal-istat qabel u wara l-bidla, u d-differenza ssir l-evidenza tiegħek.