WireGuard jaħdem biss wara li s-server jibgħat: għarfien tal-punt tat-tarf

It-tunnel jidher li jaħdem biss wara li s-server jibgħat xi ħaġa l-ewwel. Ibda mill-klijent u xejn ma jiġri, stenna ftit sekondi, erġa' pprova u jirnexxi. Id-dijanjosi tas-soltu hija NAT miksur, u d-dijanjosi tas-soltu hija żbaljata. Dak li nbidel huwa li naħa waħda tgħallmet fejn tgħix l-oħra.

Għarfien tal-punt tat-tarf, mhux aċċessibbiltà

Naħa ta' WireGuard mhix se tibda handshake sakemm tkun taf fejn tibgħatha. Il-konfigurazzjoni tipprovdiha bħala punt tat-tarf ta' indirizz u port, u l-istat li qed jaħdem isegwi il-punt tat-tarf li bħalissa jemmen fih.

wg show jistampa ż-żewġ naħat ta' dak ix-xbieha, u naħa mingħajr punt tat-tarf fl-output ma tista' tibda xejn, kemm ikunu korretti l-muftieħ pubbliku u l-prefissi permessi tagħha. Qabbel il-fehma tal-klijent ma' dik tas-server qabel ma tbiddel xi regola, għax it-tnejn spiss ma jaqblux min jaf xiex.

Kif naħa titgħallem punt tat-tarf

WireGuard huwa siekta bi ħsieb. Meta pakkett awtentikat b'mod korrett jasal minn indirizz li n-naħa ma kinitx qed tistenna, l-implimentazzjoni taġġorna l-punt tat-tarf ta' dik in-naħa għas-sors il-ġdid, u hekk taħdem ir-roaming fuq laptop li jibdel in-netwerks. Dan l-imġiba jispjega d-dipendenza mid-direzzjoni: jekk is-server jibgħat l-ewwel u l-pakkett tiegħu jasal għand il-klijent, il-klijent jitgħallem l-indirizz attwali tas-server u jista' jwieġeb. Sa dakinhar m'għandux fejn jibgħat. Il-mekkaniżmu huwa roaming awtentikat u mhux shortcut ta' fiduċja fl-ewwel użu, għax il-pakkett kellu jkun validu qabel ma ċċaqlaq il-punt tat-tarf.

Id-dokumentazzjoni tal-għodda għal wg tiddeskrivi dak l-aġġornament, u jiswa li taqraha darba jekk se tiddisinja madwarha.

Traduzzjoni bl-istat iżżid id-direzzjoni tagħha

Fejn UDP jgħaddi minn gateway li jittraduċi, il-gateway joħloq stat għall-ewwel pakkett li jara. RFC 4787 jiddeskrivi dik l-imġiba u l-iskadenzi li fl-aħħar ineħħu l-mappa. Mappa inattiva tiskadi, u pakkett deħlin mill-ġenb imbiegħed imbagħad jiġi mwarrab mill-gateway qabel ma jasal għand il-host. Tunnel li ħadem ilgħodwa kollha jieqaf iwieġeb waranofsinhar proprju għal din ir-raġuni.

Dan huwa t-tieni mekkaniżmu indipendenti li jipproduċi l-istess sintomu direzzjonali. Kemm l-għarfien tal-punt tat-tarf kif ukoll l-istat tat-traduzzjoni iridu jkunu korretti, u li tissewwa wieħed ma ssewwix l-ieħor.

Ikkonfigura d-direzzjoni li tassew trid

Għal klijent li jrid jibda l-konnessjoni, poġġi l-punt tat-tarf tas-server fit-taqsima tan-naħat tal-klijent u ħallih hemm. Li tiddependi li s-server jibgħat l-ewwel ifisser li tiddependi fuq kumbinazzjoni fl-ordni tat-traffiku li se tinbidel f'netwerk kwiet. Il-konfigurazzjoni għandha tiddikjara d-direzzjoni maħsuba, mhux tiskopriha.

Għal naħa wara traduzzjoni li trid tibqa' aċċessibbli, ippermetti keepalive persistenti fuq dak il-ġenb. Keepalive kull 25 sekonda huwa l-valur tal-bidu tas-soltu, u l-iskop tiegħu huwa li jżomm il-mappa miftuħa mhux li jittestja t-tunnel. Agħżel naħa waħda biex iġġorrha, għax li tippermettiha fuq iż-żewġ naħat iddoppja t-traffiku u l-istorbju tal-log mingħajr ma ttejjeb ir-riżultat.

Qabbel l-istat qabel u wara t-trigger

Aqbad iż-żewġ fehmiet fil-mument li jfalli, imbagħad għal darb'oħra wara li s-server jibgħat. L-ewwel kmand juri l-punti tat-tarf u l-età tal-handshake. It-tieni juri jekk teżistix entrata tat-traduzzjoni għall-port. Il-qabda turi liema direzzjoni tassew qasmet il-wajer, u l-verifika tar-rotta tikkonferma li l-klijent mhux qed jibgħat dak it-traffiku xi mkien ieħor għal kollox.

wg show
conntrack -L -p udp 2>/dev/null | grep 51820
tcpdump -ni any -c 20 'udp port 51820'
ip route get 198.51.100.7

Innota l-kolonna tal-punt tat-tarf u l-entrata tat-traduzzjoni flimkien. Naħa mingħajr punt tat-tarf u gateway mingħajr mappa huma żewġ ħsarat differenti. Wieħed biss minnhom jissewwa b'keepalive.