De WireGuard-handdruk slaagt, maar er komt geen antwoord terug

Recente handdrukken zijn goed nieuws en een veel kleinere bewering dan de zin die mensen willen schrijven. De peers wisselden geauthenticeerde handdrukberichten uit. Een applicatiepakket moet nog steeds zijn interne bestemming bereiken en terugkomen.

Die kloof tussen een gezond controlevlak en een stil datavlak is het hele onderwerp hier. Twee uitlezingen van dezelfde tellers vertellen u aan welke kant daarvan u staat.

Een handdruk bewijst sleutels, niet aflevering

De WireGuard-handdruk is een sleutelovereenkomst met authenticatie. Hij slaagt zodra de peers elkaar kunnen bereiken en geldige sleutels hebben. Routering, firewallbeleid en de bestemming zelf zijn vragen die de handdruk nooit stelt.

Een tunnel kan dus perfect tot stand zijn gebracht terwijl elk pakket erin wordt weggegooid. Een verkeerd gerouteerd intern pakket en een antwoord dat een andere weg neemt, zien er vanaf de client hetzelfde uit.

Eén intern adres is de hele test

Kies één bestemming en blijf daarbij. Het eigen tunneladres van de peer is het eenvoudigste geval, en een host achter de peer voegt precies één hop toe. Wisselen tussen beide zonder de wijziging te noteren levert resultaten op die niemand kan vergelijken.

Kijk dan naar de route die de client kiest. Een specifiekere lokale route kan het pakket ergens anders heen sturen voordat WireGuard ook maar wordt geraadpleegd, en dat gebeurt telkens wanneer het thuis-LAN het externe bereik overlapt.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Een adres dat naar de fysieke interface wordt herleid, heeft de vraag al beantwoord. De tunnel gooit niets weg. Het pakket is er nooit in terechtgekomen.

Tellers zijn bewijs, geen vonnis

wg show meldt verzonden en ontvangen bytes per peer, en de twee getallen bewegen onafhankelijk. Neem een uitlezing, doe één toegestaan verzoek en neem dan binnen dezelfde minuut een nieuwe uitlezing.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Stijgend verzenden bij vlak ontvangen is de signatuur van een onbeantwoord verzoek. Het zegt niet of het verzoek is gefilterd, of de bestemming uit stond, of het antwoord via een andere route is vertrokken. Dat zijn drie onderzoeken met één symptoom. Scheid ze voordat u welke configuratie dan ook wijzigt.

Ook een vast aantal bytes is geen succesdrempel. Tellerwaarden volgen het verkeer, en één getal als bewijs van gezondheid behandelen levert zelfverzekerde onzin op.

De peer controleert zelf het terugpakket

De verre peer accepteert een intern pakket alleen wanneer de bron binnen zijn allowedips valt. Een route die bij de afzender bestaat, is niet genoeg. Een ontbrekende bronvermelding bij de ontvanger gooit het retourverkeer stil weg.

Host-firewalls staan achter die controle. Een doorstuurregel die de tunnelinterface wel toestaat maar het interne subnet niet, accepteert de handdruk en weigert het pakket. Vanaf de client ziet dat er precies uit als een dode peer. Een host met twee interfaces kan ook vanaf de verkeerde bron antwoorden, en dan gooit de peer het antwoord weg dat hij nooit verwachtte.

Houd het experiment eerlijk

Een profiel voor externe toegang testen vanaf hetzelfde thuisnetwerk dat het moet bereiken, oefent een andere weg dan de bedoelde. Ga naar het externe netwerk en noteer het lokale prefix, zodat de twee runs vergeleken kunnen worden.

Een kleine geslaagde uitwisseling sluit ook niet elk padprobleem uit. Grotere pakketten kunnen falen waar kleine doorkomen, en een filter dat op grootte of protocol matcht, kan zich onder belasting anders gedragen.

Houd de handdruk als de bekend werkende fase en ga van daaruit verder. Het volgende nuttige bewijs is waar één intern verzoek stopt, niet een nieuwe set sleutels en nog een ronde gissen.