WireGuard rukovanje uspeva, ali odgovor se ne vraća

Nedavna rukovanja su dobra vest i mnogo manja tvrdnja od rečenice koju ljudi žele da napišu. Strane su razmenile autentifikovane poruke rukovanja. Paket aplikacije ipak mora da stigne do svog unutrašnjeg odredišta i da se vrati.

Taj jaz između zdravog kontrolnog sloja i nemog podatkovnog sloja je cela tema ovde. Dva očitavanja istih brojača govore vam na kojoj ste strani.

Rukovanje dokazuje ključeve, ne dostavu

WireGuard rukovanje je dogovor o ključevima sa autentifikacijom. Uspeva čim strane mogu da dođu jedna do druge i imaju važeće ključeve. Rutiranje, pravila zaštitnog zida i samo odredište su pitanja koja rukovanje nikada ne postavlja.

Tako tunel može biti savršeno uspostavljen dok se svaki paket u njemu odbacuje. Pogrešno rutiran unutrašnji paket i odgovor koji krene drugim putem izgledaju isto sa klijentove strane.

Jedna unutrašnja adresa je ceo test

Izaberite jedno odredište i ostanite pri njemu. Vlastita adresa tunela druge strane najlakši je slučaj, a host iza nje dodaje tačno jedan skok. Menjanje između njih bez beleženja promene daje rezultate koje niko ne može da uporedi.

Zatim pogledajte rutu koju klijent bira. Specifičnija lokalna ruta može poslati paket negde drugde pre nego što se WireGuard uopšte pita, a to se dešava kad god se kućni LAN preklapa sa udaljenim opsegom.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Adresa koja se razrešava na fizički interfejs već je odgovorila na pitanje. Tunel ništa ne odbacuje. Paket nikada nije ušao u njega.

Brojači su dokaz, ne presuda

wg show prijavljuje bajtove poslate i primljene po strani, a ta dva broja se kreću nezavisno. Uzmite očitavanje, uputite jedan dozvoljeni zahtev, pa uzmite novo očitavanje u istom minutu.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Rast slanja uz ravno primanje potpis je neodgovorenog zahteva. To ne kaže da li je zahtev filtriran, da li je odredište bilo ugašeno ili je odgovor otišao drugom rutom. To su tri istrage sa jednim simptomom. Razdvojite ih pre nego što promenite bilo koju konfiguraciju.

Ni fiksan broj bajtova nije prag uspeha. Vrednosti brojača prate saobraćaj, a tretiranje jednog broja kao dokaza zdravlja daje samouverenu besmislicu.

Druga strana sama proverava povratni paket

Udaljena strana prihvata unutrašnji paket samo kada izvor padne unutar allowedips te strane. Ruta koja postoji kod pošiljaoca nije dovoljna. Nedostajući unos izvora kod primaoca tiho odbacuje povratni saobraćaj.

Zaštitni zidovi hosta stoje iza te provere. Pravilo prosleđivanja koje dozvoljava interfejs tunela ali ne unutrašnju podmrežu prihvata rukovanje i odbija paket. Sa klijentove strane to izgleda tačno kao mrtva druga strana. Host sa dva interfejsa može takođe odgovoriti sa pogrešnog izvora, a strana tada odbacuje odgovor koji nikada nije očekivala.

Držite eksperiment poštenim

Testiranje profila udaljenog pristupa sa iste kućne mreže koju treba dostići uvežbava drugi put od predviđenog. Pređite na spoljnu mrežu i zabeležite njen lokalni prefiks, kako bi dva pokretanja mogla da se uporede.

Mala uspešna razmena takođe ne isključuje sve probleme sa putem. Veći paketi mogu pasti gde mali prolaze, a filter koji se podudara po veličini ili protokolu može se pod opterećenjem ponašati drugačije.

Zadržite rukovanje kao poznatu radnu fazu i krenite dalje od nje. Sledeći koristan dokaz je gde se jedan unutrašnji zahtev zaustavlja, a ne novi skup ključeva i još jedan krug nagađanja.