WireGuard-håndtrykket lykkes, men det kommer ingen svar tilbake

Nylige håndtrykk er gode nyheter og en mye mindre påstand enn setningen folk vil skrive. Partene utvekslet autentiserte håndtrykksmeldinger. En applikasjonspakke må fortsatt nå sin indre destinasjon og komme tilbake.

Dette gapet mellom et sunt kontrollplan og et tyst dataplan er hele emnet her. To avlesninger av de samme tellerne forteller deg hvilken side av det du er på.

Et håndtrykk beviser nøkler, ikke levering

WireGuard-håndtrykket er en nøkkelavtale med autentisering. Det lykkes så snart partene kan nå hverandre og har gyldige nøkler. Ruting, brannmurpolitikk og selve destinasjonen er spørsmål som håndtrykket aldri stiller.

Så en tunnel kan være perfekt etablert mens hver pakke i den forkastes. En feilrutet indre pakke og et svar som tar en annen vei ser like ut fra klienten.

Én indre adresse er hele testen

Velg én destinasjon og bli hos den. Partens egen tunneladresse er det enkleste tilfellet, og en vert bak parten legger til nøyaktig ett hopp. Å veksle mellom dem uten å notere endringen gir resultater ingen kan sammenligne.

Se så på ruten klienten velger. En mer spesifikk lokal rute kan sende pakken et annet sted før WireGuard i det hele tatt blir spurt, og det skjer hver gang hjemme-LAN-et overlapper det fjerne området.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

En adresse som løses til det fysiske grensesnittet har allerede besvart spørsmålet. Tunnelen forkaster ingenting. Pakken kom aldri inn i den.

Tellere er bevis, ikke dom

wg show rapporterer byte sendt og mottatt per part, og de to tallene beveger seg uavhengig. Ta en avlesning, gjør én tillatt forespørsel, og ta så en ny avlesning innen samme minutt.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Sending som stiger mens mottaket står stille er signaturen på en ubesvart forespørsel. Det sier ikke om forespørselen ble filtrert, om destinasjonen var nede, eller om svaret gikk ut en annen rute. Det er tre undersøkelser med ett symptom. Skill dem før du endrer noen konfigurasjon.

Et fast byteantall er heller ikke en suksessterskel. Tellerverdiene følger trafikken, og å behandle ett tall som bevis på helse gir selvsikker tull.

Parten undersøker selv returpakken

Den fjerne parten godtar bare en indre pakke når kilden faller innenfor partens allowedips. En rute som finnes på avsenderen er ikke nok. En manglende kildeoppføring hos mottakeren forkaster returtrafikken i stillhet.

Vertens brannmurer står bak den kontrollen. En videresendingsregel som tillater tunnelgrensesnittet men ikke det indre subnettet godtar håndtrykket og avviser pakken. Fra klientsiden ser det nøyaktig ut som en død part. En vert med to grensesnitt kan også svare fra feil kilde, og parten forkaster da svaret den aldri forventet.

Hold forsøket ærlig

Å teste en fjernaksessprofil fra det samme hjemmenettverket den skal nå, trener en annen vei enn den tiltenkte. Flytt til det eksterne nettverket og noter det lokale prefikset, slik at de to kjøringene kan sammenlignes.

En liten vellykket utveksling utelukker heller ikke alle veiproblemer. Større pakker kan feile der små slipper gjennom, og et filter som matcher størrelse eller protokoll kan oppføre seg annerledes under belastning.

Hold håndtrykket som det kjente fungerende trinnet og gå videre derfra. Det neste nyttige beviset er hvor én indre forespørsel stopper, ikke et nytt sett nøkler og nok en runde gjetning.