Handshake áno, internet nie: čo na Windows 11 opraviť najskôr

Handshake dokazuje len to, že výmena UDP prebehla. Určite, ktorá vrstva zlyhala: trasa, ktorú Windows nainštaloval, resolver, ktorý používa, alebo výstup.

Čerstvé handshaky často stoja vedľa prehliadačov, ktoré na Windows 11 nič neotvoria. Handshake dokazuje len to, že výmena UDP s partnerom prebehla. Nič nehovorí o trase, ktorú Windows nainštaloval, o resolveri, ktorý používa, ani o tom, či výstup vôbec niečo preposiela.

Štyri podmienky rozhodujú, ktorá z tých vrstiev zlyhala. Prejsť ich po poradí trvá minúty, zatiaľ čo prepisovanie kľúčov trvá dlhšie a nič nemení.

Určite vrstvu, skôr než sa dotknete kľúčov

Prejdite tri ciele v tomto poradí. Začnite adresou na strane tunela, potom verejnou IP ako číslom a skončite názvom hostiteľa. Kde sa rada preruší, tam sa vrstva pomenuje. Zlyhanie v prvom kroku je smerovanie, v druhom preposielanie alebo NAT a v treťom preklad mien.

Toto poradie je celá metóda. Bráni tomu, aby sa porucha DNS diagnostikovala ako rozbitý tunel, čo je tu najčastejší nesprávny krok.

wg show
Find-NetRoute -RemoteIPAddress 1.1.1.1
Resolve-DnsName example.com -Server 1.1.1.1

Keď je čas handshake prázdny

Keď je čas handshake prázdny, šifrovaná výmena nikdy neskončila. Porucha teda leží skôr než smerovanie. Najprv sa pozrite na adresu koncového bodu a port, potom na to, či sieť filtruje UDP. Poskytovateľ hostingu, ktorý zahadzuje prevádzku WireGuard, robí presne toto, a rovnako aj klient, ktorý skopíroval koncový bod zo starého profilu.

Bajty, ktoré odchádzajú a žiadne neprichádzajú, sú iný prípad. To ukazuje na NAT alebo firewall, ktorý vracia prevádzku na nesprávne miesto.

Keď trasa prehráva s fyzickým adaptérom

Pri plnom tuneli musí sekcia partnera pokrývať ciele, ktoré hodláte používať. Windows niekedy ponechá predvolenú trasu fyzického adaptéra aj s nastaveným pravidlom pre všetko. Rozdelenie pravidla pre všetko na 0.0.0.0/1 plus 128.0.0.0/1 vytvorí dva konkrétnejšie prefixy, ktoré vyhrajú vyhľadávanie. Rozdelenie je dokumentovaná obchádzka, nie preferencia.

Potvrďte to pomocou route print alebo dopytom na verejnú adresu. Zvolené rozhranie má byť tunelový adaptér. Ak fyzický stále vyhráva, opravte rozsahy partnera, skôr než sa dotknete servera.

Keď adresy fungujú a mená zlyhávajú

WireGuard prenáša IP pakety a na DNS nemá názor. Vložte riadok DNS = do sekcie rozhrania alebo nastavte adaptér cez Windows. Bez neho ping na adresu prejde, zatiaľ čo každé meno hostiteľa zlyhá, a používatelia to hlásia ako žiadny internet.

Skontrolujte, ktoré servery Windows po pripojení skutočne používa. Zvyškový resolver na fyzickom adaptéri vysvetľuje čiastočné zlyhanie, keď sa niektoré mená preložia a iné nie. Ukliďte ho namiesto pridania druhého navrch.

Keď je stroj s Windows výstupom

Internet Connection Sharing pri zapnutí prepisuje adresovanie, čo môže presunúť zdieľaný adaptér do iného rozsahu. Klient, ktorý stále mieri na pôvodnú adresu, potom prestane fungovať. Hodnoty registra ScopeAddress a StandaloneDHCPAddress tento rozsah riadia a nastavenie sa po reštarte môže vrátiť.

Za pohľad stoja dva ďalšie konflikty špecifické pre Windows. Služba Routing and Remote Access môže tunelu prekážať. Inštalátor zostavený pre nesprávnu architektúru zlyhá so správou, ktorá architektúru nikdy nespomenie.

Opravte vrstvu, ktorú test pomenoval, a potom zopakujte tie isté tri ciele. Zmena, ktorá opraví test mena hostiteľa, ale rozbije adresu tunela, bola použitá na nesprávnu vrstvu.

Súvisiace články