Peer WireGuard mhux aċċessibbli waqt li ieħor jaħdem: lista tat-test

Peer WireGuard wieħed jgħaddi t-traffiku u t-tieni wieħed itemm il-handshake imma qatt ma jasal għal xi ħaġa wara l-mina. Il-peer li jaħdem jgħidlek li l-interface, il-port UDP u ċ-ċavetta tas-server x'aktarx huma tajbin. Ma jgħidlek xejn dwar l-AllowedIPs tat-tieni peer, l-indirizz tas-sors intern tiegħu jew ir-regoli tal-ibbundjar bejniethom. Mexxi l-lista bl-ordni u waqaf fl-ewwel pass li l-kundizzjoni tiegħu tfalli.

Pass 1: Ikteb il-passaġġ li l-pakkett għandu jieħu

Żewġ klijenti fuq l-istess hub ma jaslux għal xulxin awtomatikament. Fi disinn ta' hub u spoke, is-server jirċievi l-pakkett fuq wg0 u għandu jibgħatu mill-ġdid barra minn wg0 lejn il-peer l-ieħor, li jirrikjedi IP forwarding u regola tal-ibbundjar. Fi disinn dirett peer-to-peer, kull naħa għandha bżonn l-endpoint tan-naħa l-oħra u l-indirizz tal-mina tagħha ġewwa l-AllowedIPs. Iddeċiedi liema disinn qed tiddibagga qabel taqra xi konfigurazzjoni.

Il-passaġġ mistenni jgħidlek ukoll fejn għandek tfittex. Jekk il-pakkett għandu jaqsam il-hub, il-hop li jfalli huwa jew l-AllowedIPs tal-mittent, l-ibbundjar tal-hub jew l-AllowedIPs tad-destinatarju. Jekk għandux imur dirett, il-hub mhuwiex rilevanti u l-oqsma tal-endpoint fuq iż-żewġ peers huma dawk li jgħoddu.

Pass 2: Qabbel l-AllowedIPs fuq iż-żewġ naħat, mhux fuq naħa waħda biss

WireGuard juża l-AllowedIPs kemm bħala tabella tal-routing kif ukoll bħala lista tal-aċċess. Meta jibgħat, l-indirizz tad-destinazzjoni jitfittex fl-AllowedIPs tal-peer biex jintgħażel il-mina; meta jirċievi, l-indirizz tas-sors intern irid jaqa' ġewwa l-AllowedIPs tal-peer li jibgħat inkella l-pakkett jintrema. Firxa nieqsa fuq xi naħa tagħti l-istess sintomu: it-trasport jaħdem, il-load jisparixxi.

Aqra l-istat ħaj minflok il-fajl, għax reload jista' jkun falla bil-kwiet: sudo wg show wg0 allowed-ips. Fuq is-server, id-daħla tal-peer li jfalli trid tinkludi l-indirizz tal-mina tiegħu, per eżempju 10.90.0.3/32. Fuq il-klijent, id-daħla tal-peer tas-server trid tinkludi d-destinazzjoni li qed tittestja, kemm jekk hija l-indirizz tal-mina tal-hub kif ukoll jekk hija s-subnet il-bogħod. Firxiet li jikkoinċidu jagħmlu t-tfittxija ambigwa u jistgħu jagħżlu peer li ma kellokx f'moħħok, għalhekk żommhom separati.

Pass 3: Iċċekkja l-indirizz tas-sors intern

Klijent li jirrotta 10.90.0.3 permezz ta' wg0 imma jibgħat pakketti mill-indirizz Wi-Fi tiegħu jiġi miċħud mid-destinatarju, għax is-sors ma jaqbilx mal-AllowedIPs tal-peer. Ikkonferma x'jagħżel verament il-kernel b'ip route get 10.90.0.3 from 10.90.0.2, u kkonferma l-indirizz assenjat lill-interface tal-mina b'ip -brief addr show wg0.

Fuq il-host Linux li jirċievi, il-filtrazzjoni tal-passaġġ invers hija t-tieni bieba. rp_filter strett fuq l-interface li għandha r-rotta lura jista' jarmi traffiku tal-mina li l-passaġġ lura tiegħu ma jaqbilx mal-interface li wasal minnha. Iċċekkja l-valur effettiv qabel ma tiddiżattivah; f'ħafna topoloġiji l-korrezzjoni t-tajba hija rotta, mhux filtru rilassat.

Pass 4: Irrevedi l-ibbundjar tal-hub u l-passaġġ lura

Jekk il-hub għandu jbundleja bejn il-peers, il-kernel jeħtieġ net.ipv4.ip_forward=1, u l-firewall irid jaċċetta l-fluss ibbundjat: idħol fuq wg0, oħroġ fuq wg0, mill-indirizz tal-mina tal-mittent għal dak tad-destinatarju. Falliment komuni huwa regola tal-input li taċċetta UDP 51820 imma l-ebda regola tal-ibbundjar], allura l-handshake jirnexxi u l-load imut. Elenka r-regoli effettivi b'sudo nft list ruleset jew l-ekwivalenti għall-maniġer tal-firewall tiegħek.

Imbagħad iċċekkja t-tweġiba. Il-host tad-destinazzjoni jrid ikollu rotta lura lejn il-mittent, jew permezz tal-hub jew permezz tal-gateway tiegħu stess. Jekk il-hub jagħmel NAT ukoll fuq is-subnet tal-mina, ikkonferma li t-traduzzjoni tapplika għall-fluss ibbundjat u li t-tweġiba tasal għall-hub qabel ma tiskadi l-istat. Falliment f'direzzjoni waħda li jidher bħala problema taċ-ċavetta spiss huwa biss dan il-passaġġ lura.

Fl-aħħar, issepara l-handshake mid-data. Peer li jtemm il-handshake imma jeħel fuq trasferimenti kbar normalment ikollu problema tal-MTU jew MSS fuq dak il-passaġġ, mhux problema tal-AllowedIPs. Ipprova l-ewwel b'ping żgħir, imbagħad b'ping ta' daqs sħiħ, u qabbel iż-żewġ peers.

Pass 5: Ibdel ħaġa waħda u żomm il-peer li jaħdem intatt

Agħmel bidla waħda fuq il-passaġġ li jfalli u erġa' ittestja ż-żewġ peers. Is-sostituzzjoni tal-AllowedIPs ta' kull peer b'0.0.0.0/0 hija l-aktar mod mgħaġġel biex tkisser il-peer li kien jaħdem diġà, għax tibdel id-deċiżjoni tal-routing għat-traffiku kollu fuq dik l-interface. Editja dik id-daħla waħda, erġa' għabbi u aqra l-istat ħaj lura.

Innota liema passaġġ irnexxa, liema falla, u l-output eżatt tal-kmand għal kull wieħed. Dik il-paragun tiswa aktar minn rapport ġenerali li l-VPN hija miksura, u hija l-ewwel ħaġa li se jistaqsi l-persuna li jmiss.