Håndtrykket til WireGuard lykkes, men ingen svar kommer tilbake

Nylige håndtrykk er gode nyheter, og en langt mindre påstand enn setningen folk ønsker å skrive. Partene utvekslet autentiserte håndtrykksmeldinger. En applikasjonspakke må likevel nå sin indre destinasjon og komme tilbake.

Dette skillet mellom et sunt kontrollplan og et stille dataplan er hele temaet her. To målinger av de samme tellerne forteller deg hvilken side av skillet du står på.

Et håndtrykk beviser nøkler, ikke levering

Håndtrykket i WireGuard er en nøkkelavtale med autentisering. Det lykkes i det øyeblikket partene kan nå hverandre og har gyldige nøkler. Ruting, brannmurregler og selve destinasjonen er spørsmål som håndtrykket aldri stiller.

En tunnel kan altså være helt etablert mens hver pakke inne i den blir forkastet. En feilrutet indre pakke og et svar som velger en annen vei ser like ut sett fra klienten.

En enkelt indre adresse er hele testen

Velg ett mål og hold deg til det. Motpartens egen tunneladresse er det letteste tilfellet, og en maskin bak motparten legger til nøyaktig ett hakk. Å bytte mellom dem uten å notere endringen gir resultater som ingen kan sammenligne.

Se deretter på ruten klienten velger. En mer spesifikk lokal rute kan sende pakken et annet sted før WireGuard i det hele tatt blir spurt, og det skjer hver gang hjemmenettet overlapper det eksterne området.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

En adresse som peker på det fysiske grensesnittet har allerede besvart spørsmålet. Tunnelen forkaster ingenting. Pakken kom aldri inn i den.

Tellere er bevis, ikke dom

wg show viser byte sendt og mottatt per part, og de to tallene beveger seg uavhengig av hverandre. Ta en måling, send én tillatt forespørsel, og ta en ny måling innen samme minutt.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Økende sending med uendret mottak er kjennetegnet på en ubesvart forespørsel. Det sier ikke om forespørselen ble filtrert, om destinasjonen var nede, eller om svaret gikk en annen vei. Dette er tre undersøkelser med ett felles symptom. Skill dem før du endrer noen innstilling.

Heller ikke et fast byteantall er en terskel for suksess. Tellerverdiene følger trafikken, og å behandle ett tall som bevis på god helse gir selvsikker tull.

Motparten kontrollerer returpakken selv

Den fjerne parten godtar bare en indre pakke når kilden ligger innenfor allowedips til den parten. En rute som finnes hos avsenderen er ikke tilstrekkelig. En manglende kildeoppføring hos mottakeren dropper returtrafikken i stillhet.

Brannmurene på maskinen ligger bak denne kontrollen. En videresendingsregel som tillater tunnelgrensesnittet, men ikke det indre subnettet, godtar håndtrykket og avviser pakken. Fra klientens side ser det ut som en død motpart. En maskin med to grensesnitt kan også svare fra feil kilde, og da forkaster motparten svaret den aldri ventet på.

Hold forsøket ærlig

Å teste en fjernaksessprofil fra det samme hjemmenettet som den skal nå, trener en annen vei enn den tiltenkte. Flytt over til det eksterne nettet og noter det lokale prefikset, slik at de to kjøringene kan sammenlignes.

En liten vellykket utveksling utelukker heller ikke alle veiproblemer. Større pakker kan feile der små slipper gjennom, og et filter som matcher størrelse eller protokoll kan oppføre seg annerledes under belastning.

Hold håndtrykket som det trinnet du vet fungerer, og gå videre derfra. Det neste nyttige beviset er hvor én indre forespørsel stopper, ikke et nytt sett nøkler og nok en runde med gjetting.