WireGuard-handtrykket lukkast, men det kjem ikkje noko svar tilbake

Nylege handtrykk er gode nyhende og ein mykje mindre påstand enn setninga folk vil skrive. Partane bytte autentiserte handtrykkmeldingar. Ein applikasjonspakke må framleis nå den indre destinasjonen sin og kome tilbake.

Dette gapet mellom eit sunt kontrollplan og eit tyst dataplan er heile emnet her. To avlesingar av dei same teljarane fortel deg kva side av det du er på.

Eit handtrykk syner nøklar, ikkje levering

WireGuard-handtrykket er ei nøkkelavtale med autentisering. Det lukkast så snart partane kan nå kvarandre og har gyldige nøklar. Ruting, brannmurpolitikk og sjølve destinasjonen er spørsmål som handtrykket aldri stiller.

Så ein tunnel kan vere perfekt etablert medan kvar pakke i han blir forkasta. Ei feilruta indre pakke og eit svar som tek ein annan veg ser like ut frå klienten.

Éi indre adresse er heile testen

Vel éin destinasjon og hald deg til han. Parten sin eigen tunneladresse er det enklaste tilfellet, og ein vert bak parten legg til nøyaktig eitt hopp. Å veksle mellom dei utan å notere endringa gjev resultat ingen kan samanlikne.

Sjå så på ruta klienten vel. Ei meir spesifikk lokal rute kan sende pakka ein annan stad før WireGuard i det heile blir spurt, og det skjer kvar gong heime-LAN-et overlappar det fjerne området.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Ei adresse som blir løyst til det fysiske grensesnittet har alt svara på spørsmålet. Tunnelen forkastar ingenting. Pakka kom aldri inn i han.

Teljarar er prov, ikkje dom

wg show rapporterer byte sende og mottekne per part, og dei to tala flyttar seg uavhengig. Ta ei avlesing, gjer éin tillaten førespurnad, og ta så ei ny avlesing innan same minutt.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Sending som stig medan mottaket står stille er signaturen på ein ubesvara førespurnad. Det seier ikkje om førespurnaden vart filtrert, om destinasjonen var nede, eller om svaret gjekk ut ei anna rute. Det er tre granskingar med eitt symptom. Skil dei før du endrar nokon konfigurasjon.

Eit fast bytetal er heller ikkje ein suksessterskel. Teljarverdiane fylgjer trafikken, og å handsame eitt tal som prov på helse gjev sjølvsikker tull.

Parten granskar sjølv returpakka

Den fjerne parten godtek berre ei indre pakke når kjelda fell innanfor allowedips til parten. Ei rute som finst på avsendaren er ikkje nok. Ei manglande kjeldeoppføring hos mottakaren forkastar returtrafikken i stillheit.

Brannmurane til verten står bak den kontrollen. Ei videresendingsregel som tillèt tunnelgrensesnittet men ikkje det indre subnettet godtek handtrykket og avviser pakka. Frå klientsida ser det nøyaktig ut som ein daud part. Ein vert med to grensesnitt kan også svare frå feil kjelde, og parten forkastar då svaret han aldri venta.

Hald forsøket ærleg

Å teste ein fjernåtkomstprofil frå det same heimenettverket han skal nå, trenar ein annan veg enn den tiltenkte. Flytt til det eksterne nettverket og noter det lokale prefikset, slik at dei to køyringane kan samanliknast.

Ei lita vellukka utveksling utelukkar heller ikkje alle vegproblem. Større pakker kan feile der små slepp gjennom, og eit filter som matchar storleik eller protokoll kan oppføre seg annleis under last.

Hald handtrykket som det kjende fungerande trinnet og gå vidare derfrå. Det neste nyttige provet er kvar éin indre førespurnad stoppar, ikkje eit nytt sett nøklar og endå ein runde gissing.