WireGuard හෑන්ඩ්ෂේක් වැඩ කරයි නමුත් අන්තර්ජාලය නැත: පැකට්ටුව නිරීක්ෂණය කරන්න
හෑන්ඩ්ෂේක් යනු යතුරු සහ ළඟාවීම පමණක් ඔප්පු කරයි. AllowedIPs සිට යැවීම, NAT සහ ආපසු මාර්ගය හරහා එක් පැකට්ටුවක් නිරීක්ෂණය කර එය නතර වන තැන බලන්න.
උමං සක්‍රීයයි, wg show මෑත හෑන්ඩ්ෂේක් එකක් වාර්තා කරයි, ඔබට සර්වරයේ උමං ලිපිනයට ping කළ හැක, එයින් ඔබ්බට කිසිවක් පිළිතුරු නොදේ. පළමු ප්‍රවණතාව යතුරු නැවත ජනනය කිරීම හෝ වින්‍යාසය නැවත බෙදා ගැනීමයි. එය දැනටමත් වැඩ කරන බව ඔප්පු වී ඇති මාර්ගයේ එම කොටසම වෙනස් කරයි.
සම්පූර්ණ වූ හෑන්ඩ්ෂේක් එකක් කියන්නේ දෙපැත්ත යතුරු ගැන එකඟ බව, UDP අන්ත ලක්ෂ්‍යයට ළඟා වන බව, සහ ක්‍රිප්ටෝ මාර්ගකරණය පැකට්ටුව පිළිගන්නා බවයි. පැකට්ටුව පසුව සර්වරයෙන් පිටවිය හැකිද යන්න ගැන එය කිසිවක් නොකියයි.
එබැවින් අනුමාන කිරීම වෙනුවට එක් පැකට්ටුවක් නිරීක්ෂණය කරන්න. එය මිය යා හැකි ස්ථාන හතරක් ඇත, සහ එක් එක් එක වෙනස් සලකුණක් ඉතිරි කරයි.
හෑන්ඩ්ෂේක් ඇත්තටම ඔප්පු කරන්නේ කුමක්ද
WireGuard යනු Noise හෑන්ඩ්ෂේක් එකකින් සැසියක් ස්ථාපිත කර පසුව සහකරුවෙකු සඳහා පැකට්ටු සංකේතනය කරන UDP ප්‍රොටෝකෝලයකි. wg show තත්පර කිහිපයක හෑන්ඩ්ෂේක් එකක් සහ වැඩිවන සම්ප්‍රේෂණ ගණනක් පෙන්වන විට, අන්ත ලක්ෂ්‍යය, යතුරු සහ සහකරුගේ පොදු යතුර සියල්ලම නිවැරදිය.
එය ඔප්පු නොකරන දෙය නම්: ඔබේ සේවාලාභියා අන්තර්ජාලයට යන රථවාහන අතුරුමුහුණතට යවන්නේද, සර්වරය එය යැවීමට සූදානම්ද, නැතිනම් පිළිතුරකට ආපසු මාර්ගය සොයාගත හැකිද යන්නයි. මේවා කර්නල මාර්ගකරණයේ සහ ගිනිපවුරේ තීරණ වන අතර ඒවා උමංගෙන් පිටත ගනු ලැබේ.
සර්වරයේ උමං ලිපිනයට ping කිරීම එතරම් නොමඟ යවන පරීක්ෂණයක් වීමට හේතුව එයයි. එම පැකට්ටුව සර්වරයටම යොමු කර ඇත, එබැවින් එය දේශීයව අවසන් වේ. එයට කිසිදා යැවීමක්, කිසිදා පරිවර්තනයක් සහ කිසිදා අන්තර්ජාලයෙන් ආපසු මාර්ගයක් අවශ්‍ය නොවේ.
AllowedIPs යනු මාර්ගකරණ තීරණයකි
සේවාලාභියා මත AllowedIPs කාර්යයන් දෙකක් කරයි. එය කුමන ගමනාන්ත ලිපින මෙම සහකරුගේ උමං තුළට යවන්නේද යන්න තීරණය කරන ක්‍රිප්ටෝ යතුරු මාර්ගකරණ වගුවයි, සහ එය සහකරු ඔබෙන් පිළිගන්නා මූලාශ්‍ර ලිපින ලැයිස්තුවයි. සේවාලාභියාගේ වින්‍යාසයේ ඇත්තේ 10.8.0.0/24 පමණක් නම්, පොදු ගමනාන්ත කිසිදා අතුරුමුහුණතට ඇතුළු නොවේ, ඔබේ සාමාන්‍ය පෙරනිමි මාර්ගය ඒවා උමංගෙන් පිටතට ගෙන යයි. එවිට උමංග නිපුණව වැඩ කරයි, ඔබට අවශ්‍ය වූ කිසිවක් නොකරයි.
වින්‍යාස ගොනුව කියන දෙය නොව, සේවාලාභියා ඇත්තටම ස්ථාපනය කළ දෙය බලන්න:
wg show wg0 allowed-ipsip route get 1.1.1.1
දෙවන විධානය තීරණාත්මකය. පිළිතුර ඔබේ භෞතික අතුරුමුහුණත සහ සාමාන්‍ය ගේට්වේ නම් කරන්නේ නම්, පැකට්ටුව උමං තුළින් යන්නේ නැත, සර්වර් පැත්තේ කිසිදු වෙනසක් එය නිවැරදි නොකරයි. IPv4 සඳහා 0.0.0.0/0 සහ IPv6 සඳහා ::/0 වෙන වෙනම එක් කරන්න; එක් පවුලක් සඳහා සියල්ල අල්ලා ගන්නා නියමය අනෙක එහි මුල් මාර්ගයේම තබයි, මෙය වැඩ කරන IPv4 උමංගක් සහ සිරවූ IPv6 සොයමින් පැවතීමට හේතුවයි.
ගේට්වේ මත පැකට්ටුව මිය යන්නේ කොහේද
මාර්ගය නිවැරදි නමුත් පැකට්ටුව තවමත් කොහේවත් නොයන්නේ නම්, එය සර්වරයට ළඟා වී එහි නතර වේ. පරීක්ෂණ හතරක් බොහෝ ගේට්වේ ආවරණය කරයි.
යැවීම. sysctl net.ipv4.ip_forward මගින් 0 ආපසු දීම සම්භාව්‍ය පිළිතුරයි, බොහෝ බෙදාහැරීම් තවමත් පෙරනිමියෙන් 0 වේ. එය 1 විය යුතු අතර, නැවත ආරම්භ කිරීමේදී අතුරුදහන් වන විධානයක් වෙනුවට sysctl ගොනුවක ස්ථිරව සැකසිය යුතුය. IPv6 යැවීම වෙනම ස්විචයකි.
පෙරහන් ප්‍රතිපත්තිය. පෙරනිමි drop ප්‍රතිපත්තියක් ඇති FORWARD දාමය උමං රථවාහන ඉවත දමනු ඇත, නමුත් සත්කාරකයටම යන රථවාහනයට ඉඩ දෙයි, එය රෝග ලක්ෂණයට හරියටම ගැළපේ. සුරකින ලද ගොනුවක් නොව, ජීවමාන නියම කට්ටලය කියවන්න: nft list ruleset හෝ iptables -S.
පරිවර්තනය හෝ මාර්ගකරණය. පෞද්ගලික උමං ලිපින භාවිතා කරන සේවාලාභීන්ට සර්වරයේ පිටවන අතුරුමුහුණතේ මූලාශ්‍ර NAT එකක් හෝ ඉහළ ජාලය ආපසු යැවීම දන්නා මාර්ගගත පූර්ව ලක්ෂණයක් අවශ්‍ය වේ. දෙක අතර තේරීම ලිපින සැලැස්ම අනුගමනය කරයි. ඔබේ පූර්ව ලක්ෂණය දැනටමත් ආපසු මාර්ගගත කරන ජාලයකට MASQUERADE එක් කිරීම හානිකර නොවන නමුත් අර්ථ විරහිතය, මාර්ගයක් නොමැති තැන එය ඉවත් කිරීම පිළිතුරු මාර්ගගත කළ නොහැකි පෞද්ගලික පරාසයකට යොමු කර තබයි.
ආපසු මාර්ගය. මාර්ගගත නිර්මාණවලදී ඉහළ රවුටරයට ඔබේ සර්වරය දෙසට යොමු වන මාර්ගයක් අවශ්‍ය වේ. සැපයුම්කරුගේ ජාලයද එය අවහිර කළ හැක: ඇතැම් ක්ලවුඩ් උදාහරණය මත මූලාශ්‍ර සහ ගමනාන්ත පරීක්ෂාවක් සක්‍රීය කරයි, එය මූලාශ්‍රය උදාහරණයේම ලිපිනය නොවන පැකට්ටු නිහඬව ඉවත දමයි, එම පරීක්ෂාව අක්‍රීය කරන තෙක්.
DNS මාර්ගකරණයට වඩා වෙනස් ලෙස අසමත් වේ
දන්නා ලිපිනයකට පැකට්ටුවක් සහ නම් සොයා ගැනීමක් යනු වෙනස් අසමත්වීම් දෙකකි, දෝෂ පණිවිඩ ප්‍රතිවිරුද්ධ දිශාවලට නොමඟ යවයි. ping 1.1.1.1 වැඩ කර පිරික්සුමකට කිසිවක් පූරණය කළ නොහැකි නම්, මාර්ගය හොඳයි නම් විග්‍රහ කිරීම නොවේ. ping එකම අසමත් වන්නේ නම්, DNS අදාළ නැත, ඔබ පෙර කොටසට ආපසු පැමිණ ඇත.
wg-quick වින්‍යාසයේ DNS = පේළියෙන් විසඳන්නෙකු සැකසිය හැක, systemd-resolved ට එක් එක් සබැඳිය සඳහා තමන්ගේ හැසිරීම ඇත. උමං තුළම පමණක් ළඟා විය හැකි ලිපිනයකින් විසඳන්නා ප්‍රතිස්ථාපනය කරන VPN එකක් උමං වැටෙන මොහොතේ සෑම සෙවුමක්ම අසමත් කරයි, එය උමං අන්තර්ජාලය කඩා දමනවාක් මෙන් පෙනේ.
| Symptom | Layer to inspect |
|---|---|
| Tunnel address pings, nothing else does | Client route, then gateway forwarding |
| Public IP pings, hostnames fail | Resolver selection and reachability |
| Handshake completes, no reply ever | FORWARD policy or missing NAT on the server |
| Small requests work, large transfers stall | MTU and TCP MSS clamping |
සාක්ෂි ලබා දෙන අනුපිළිවෙල
පළමුව සේවාලාභී පැත්තේ පරීක්ෂාව ධාවනය කරන්න, එය එක් විධානයක් වන අතර හැකියාවන්ගෙන් අඩක් ඉවත් කරයි. ඉන්පසු සර්වරය අන්තර්ජාල පිටවීමක් ලෙසම නිර්මාණය කර ඇත්දැයි තහවුරු කරන්න; පෞද්ගලික ප්‍රවේශය සඳහා ඉදිකළ ගේට්වේ එකක් පොදු ගමනාන්ත අසමත් වන විට කැඩී නැත.
සර්වරයේ, සේවාලාභියාගෙන් ping යවන අතර අතුරුමුහුණත නිරීක්ෂණය කරන්න: tcpdump -ni wg0 icmp ඉල්ලීම පෙන්විය යුතුය, tcpdump -ni eth0 icmp එය පිටවන බව පෙන්විය යුතුය, පරිවර්තනය වී හෝ නොවී. එය පළමුවැන්නෙහි දිස්වී දෙවැන්නෙහි කිසිදා නොදිස්වේ නම්, නැවතුම සර්වරයේම දේශීයයි. එය පිටවී පිළිතුරක් ආපසු නොඑන්නේ නම්, ගැටලුව ඉහළින්, එය වෙනත් කථාවකි.
අවසානයේ, නිවැරදි කිරීම නැවත ආරම්භ කිරීමෙන් පසුවත් පවතින බව සහතික කරන්න. යැවීම sysctl ගොනුවකට, ගිනිපවුරු නියම ඒවා පූරණය කරන සේවාවට, සේවාලාභී මාර්ග අතුරුමුහුණත ඔසවන වින්‍යාසයට අයත් වේ, ඔබට අමතක වන ෂෙල් එකකට නොවේ. නැවත සම්බන්ධ වන්න, එම පරීක්ෂණ දෙකම නැවත කරන්න, ගණන් කරන්නන් චලනය වන බව තහවුරු කරන්න.