WireGuard nu afișează niciun handshake recent: ce verificați mai întâi

Un câmp de ultim handshake gol înseamnă de obicei că interfața nu a finalizat niciun handshake de la pornire, ceea ce spune mai puțin despre configurație decât pare. WireGuard rămâne tăcut până când un pachet trebuie să iasă prin interfață, așa că un peer inactiv fără nimic de trimis raportează exact asta. Stabiliți dacă s-a oferit într-adevăr ceva înainte de a inspecta cheile.

Testul este un pachet permis către o destinație pe care peer-ul ar trebui să o transporte. Tot restul de pe acel ecran de stare descrie intenție, nu activitate.

O interfață inactivă nu are nimic de raportat

WireGuard face handshake-uri leneș: primul pachet care are nevoie de tunel declanșează schimbul, iar interfața rămâne tăcută până atunci. Un peer configurat și niciodată folosit arată un handshake gol, zero octeți primiți și un interval crescând de la ultimul. Acea stare este sănătoasă pentru un client inactiv și alarmantă doar dacă vă așteptați ca traficul să fi curs deja. Verificați și contoarele de transfer, pentru că separă nimic-trimis de încercat-și-eșuat.

Dacă contoarele stau la zero pe ambele părți, problema este deasupra tunelului. Nimic nu a ajuns la interfață pentru a declanșa ceva.

Declanșați trafic pe care peer-ul are voie să îl transporte

Alegeți o adresă din prefixele permise ale peer-ului, pe mașina locală, și confirmați că tabela de rutare ar trimite-o prin interfață. O destinație din afara acestor prefixe produce o cerere rutată obișnuită, fără nicio implicare a WireGuard. Folosiți un serviciu care răspunde rapid, cum ar fi un ping sau o conexiune TCP scurtă, astfel încât încercarea să aibă un început și un sfârșit vizibile. Apoi citiți din nou linia handshake în loc să priviți ecranul și să așteptați.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

Interogarea rutei contează mai mult decât ping-ul. Dacă numește interfața fizică, pachetul nu a intrat niciodată în tunel, iar handshake-ul gol este un răspuns de rutare, nu criptografic. Reparați ruta înainte de a depana peer-ul.

Comparați perechea de chei și punctul final

Odată ce traficul este oferit cu adevărat, identitatea este următoarea verificare. Cheia privată locală trebuie să corespundă cheii publice autorizate de cealaltă parte, cheia publică la distanță configurată trebuie să identifice peer-ul dorit, iar orice cheie partajată în prealabil trebuie să se potrivească la ambele capete. O singură diferență de caracter într-o cheie base64 produce un peer care pare configurat și nu finalizează niciodată un schimb. Comparați cu registrul de provizionare în loc să regenerați chei, pentru că o cheie nouă invalidează fiecare peer care se baza pe cea veche.

Punctul final necesită aceeași examinare: nume de gazdă, adresă, port UDP și familia folosită pentru a-l atinge. O adresă învechită sau portul greșit produc tăcere în loc de mesaj.

Urmăriți calea UDP externă

Handshake-ul călătorește ca UDP spre punctul final, deci calea externă trebuie să îl transporte. Comenzile de mai jos verifică dacă există un ascultător, dacă stiva locală a emis datagrama și ce punct final este configurat. Rulați captura în timp ce declanșați trafic, nu înainte.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

O captură care arată inițierea fără răspuns indică în afara mașinii, pentru că cealaltă parte fie nu ascultă, fie este filtrată, fie este adresată greșit. O captură care nu arată nimic înseamnă că pachetul nu a plecat niciodată, ceea ce vă readuce la rută și la orice marcă de socket aflată în joc. Când administrați ambele capete, corelați încercarea după marcajul de timp cu o captură îngustă pe server, nu cu una generală. Un test de port TCP nu dovedește nimic aici, pentru că protocolul este doar UDP.

Imediat ce apare un handshake, testați o aplicație prin tunel, pentru că un schimb finalizat dovedește identitate și accesibilitate, nu un debit utilizabil sau un DNS corect. Păstrați ieșirea de stare dinainte și de după schimbare, iar diferența devine dovada dumneavoastră.