WireGuard jaħdem fuq id-dejta mobbli iżda mhux fuq l-istess wifi
Talba minn ġewwa l-LAN lejn l-indirizz pubbliku tar-router tieħu triq differenti minn waħda mid-dejta mobbli. Ittestja barra u mbagħad agħżel triq lokali.
Il-mina tinġieb fuq id-dejta mobbli u mbagħad tibqa' fuq qed tikkonnettja fid-dar, bl-istess profil, bl-istess ċavetta tal-peer u mingħajr ebda bidla fil-konfigurazzjoni bejniethom. Id-differenza tinsab fil-vjaġġ: talba minn ġewwa l-LAN lejn l-indirizz pubbliku tar-router mhijiex l-istess vjaġġ bħal talba li tasal mill-internet. Il-biċċa l-kbira tal-gateways tad-dar jew ma jimplimentawx it-triq tar-ritorn jew jimplimentawha biss għal ċerti protokolli. Dan jagħmel is-sintomu jidher bħal ċavetta miksura meta xejn miċ-ċavetta ma ċċaqlaq. Iddetermina liema triq falliet qabel ma tmiss ċavetta, redirezzjoni tal-port jew profil tal-klijent.
Indirizz wieħed, żewġ toroq differenti
Minn barra, pakkett jasal fl-indirizz pubbliku tar-router u regola ta' redirezzjoni tal-port tgħaddih lis-semmiegħ WireGuard fuq il-host intern. Minn ġewwa, il-klijent iċempel l-istess indirizz pubbliku, u għalhekk il-pakkett joħroġ mill-klijent, jasal fir-router u jrid jiġi mgħawweġ lura lejn il-LAN. Huwa f'dan l-għawweġ li ż-żewġ toroq jinfirdu, għax ir-router irid jittraduċi fluss li kemm joħroġ kif ukoll jerġa' jidħol mill-istess interface. Ħafna implimentazzjonijiet jitfgħuh minflok ma jittraduċuh, u l-klijent imbagħad jistenna handshake li qatt ma ntbagħat.
L-imġiba normalment tissejjaħ NAT loopback jew hairpinning, u hija tar-router aktar milli ta' WireGuard; RFC 4787 jesponi l-każijiet tat-traduzzjoni li fihom gateway jista' jew ma jistax jappoġġjaha. WireGuard innifsu m'għandu l-ebda opinjoni dwar it-triq, għax jara biss pakketti li jaslu fl-interface tiegħu. Meta r-router jitfa' l-fluss, id-daemon qatt ma jirċievi xejn, il-klijent jirrapporta timeout tal-handshake, u l-log tas-server jibqa' vojt. Log vojt huwa għalhekk ħjiel dwar fejn waqaf il-pakkett, mhux prova li s-server huwa 'l isfel. Huwa wkoll ir-raġuni għaliex installazzjoni mill-ġdid ma tbiddel xejn.
Il-kuntrarju jgħodd ukoll: log tas-server li juri attentat ta' handshake mill-indirizz tal-LAN jipprova li l-pakkett wasal u li t-triq hija tajba, li jċaqlaq l-investigazzjoni lejn ċwievet u indirizzi permessi. Aqra l-log għal dak li jipprova, mhux għal dak li kont qed tittama li tara.
Irriproduċiha qabel ma tbiddel xejn
Ittestja minn netwerk estern awtorizzat bl-istess apparat u bl-istess profil, imbagħad erġa' għamel it-test ġewwa l-LAN mingħajr ma tibdel xejn. Handshake komplut barra u klijent li ġewwa qatt ma jħalli l-apparat jirriproduċu l-kundizzjoni minflok ma jaqtgħuha bl-addoċċ. Iż-żewġ tentattivi jridu jużaw l-istess profil, inkella l-paragun ma jipprova xejn.
Imbagħad ħares lejn fejn jissolva l-isem tal-endpoint għal dan l-apparat. It-tliet komandi li ġejjin juru wkoll liema indirizz il-klijent effettivament ċempel:
wg show wg0 endpoints
dig +short vpn.example.net A
resolvectl query vpn.example.netL-ewwel komand jirrapporta l-endpoint li l-interface qed tuża bħalissa, u ż-żewġ l-oħra juru fejn jissolva l-isem fuq din il-magna. Klijent li jċempel indirizz pubbliku waqt li jkun fuq l-istess netwerk tas-server qed juża t-triq tal-hairpin. Klijent li jċempel l-indirizz tal-LAN ma jagħmilx hekk, u falliment hemmhekk jappartjeni għal investigazzjoni oħra. Dik id-distinzjoni tiddeċiedi jekk is-sezzjoni li jmiss tapplikax xejn.
Modi appoġġjati biex tasal għal server qrib
L-arranġament l-aktar nadif huwa tweġiba split-horizon: l-isem pubbliku jissolva għall-indirizz pubbliku għall-internet u għall-indirizz tal-LAN tas-server għall-klijenti minn ġewwa. Il-profil iżomm isem wieħed tal-endpoint u r-resolver jagħżel it-triq. Dan jeħtieġ kontroll tat-tweġiba DNS interna, li router tad-dar normalment joffri u organizzazzjoni tista' tħejjiha apposta. Mingħajr dak il-kontroll, l-għażliet li jibqgħu huma funzjoni tar-router jew it-tieni profil.
Il-funzjoni tar-router hija r-riflessjoni: il-gateway jittraduċi l-fluss minn ġewwa għal barra u jibgħatu lura ġewwa. Fejn taħdem ma teħtieġ l-ebda bidla fil-klijent, u fejn ma taħdimx l-ebda setting tal-klijent ma jsalvaha. Ittestjaha billi tosserva l-log tas-server waqt tentattiv intern minflok ma taqra l-lista tal-funzjonijiet tar-router.
Li tbiddel il-profil għal indirizz privat huwa dijanjosi, mhux disinn. Jipprova li s-server iwieġeb fuq il-LAN, u jkisser l-istess profil fil-mument li l-laptop joħroġ mid-dar.
| Approach | What it depends on | Where it fails |
|---|---|---|
| Split-horizon name | Control of the internal DNS answer | Clients that resolve through a server outside the zone |
| Router reflection | Gateway support for hairpin translation | Routers that drop the flow silently |
| Private address in the profile | Nothing beyond the LAN | Every network except the one at home |
Żomm il-profil użabbli 'il bogħod mid-dar
Liema triq tagħżel, ħalli l-verifika tal-identità kwieta. L-indirizz tal-endpoint mhuwiex l-identità tal-peer, u bidla fl-indirizz qatt ma tiġġustifika li taċċetta ċavetta pubblika barranija li jkun każ li twieġeb. WireGuard jawtentika permezz taċ-ċavetta, u għalhekk host żbaljat ifalli l-handshake minflok ma jagħti aċċess għal xi ħaġa mhux mistennija.
Jekk l-indirizz pubbliku jiċċaqlaq, id-DNS dinamiku huwa dak li jżomm l-isem utli, u l-imġiba ta' aġġornament tal-klijent tiddeċiedi kemm malajr tasal il-bidla. Ittestja dan minn barra wara bidla fl-indirizz, għax il-każ tal-LAN ma jistax jivvalidah. Oqgħod attent għal resolver li jaħżen it-tweġiba qadima lil hinn mill-ħajja tar-record. Isem li għadu jindika l-indirizz preċedenti jidher eżattament bħal server li waqa'.
Ikteb liema isem juża l-profil u fejn jissolva fuq kull naħa tal-fruntiera. Profil li jiddependi minn funzjoni tar-router li ħadd ma rreġistra huwa telefonata ta' appoġġ li tistenna l-aġġornament tal-firmware li jmiss. In-nota hija wkoll dak li tgħid lill-persuna li jmiss jekk falliment intern huwiex il-każ magħruf tal-hairpin jew xi ħaġa ġdida.