Handshake WireGuardu prebehne, ale odpoveď sa nevracia

Nedávne handshaky sú dobrá správa a oveľa menšie tvrdenie než veta, ktorú ľudia chcú napísať. Protistrany si vymenili autentizované správy handshaku. Paket aplikácie sa však stále musí dostať na svoje vnútorné cieľové miesto a vrátiť sa.

Táto priepasť medzi zdravou riadiacou rovinou a tichou dátovou rovinou je celá téma tohto článku. Dve odčítania tých istých počítadiel vám povedia, na ktorej strane stojíte.

Handshake dokazuje kľúče, nie doručenie

Handshake WireGuardu je dohoda o kľúčoch s autentizáciou. Podarí sa, hneď ako na seba protistrany dosiahnu a majú platné kľúče. Smerovanie, pravidlá firewallu aj samotné cieľové miesto sú otázky, ktoré handshake nikdy nepoloží.

Tunel teda môže byť dokonale nadviazaný, zatiaľ čo každý paket vnútri sa zahadzuje. Zle smerovaný vnútorný paket a odpoveď, ktorá sa vydá inou cestou, vyzerajú z pohľadu klienta rovnako.

Jedna vnútorná adresa je celý test

Vyberte jedno cieľové miesto a zostaňte pri ňom. Vlastná adresa tunela protistrany je najjednoduchší prípad a host za protistranou pridá presne jeden skok. Prepínanie medzi nimi bez poznámky o zmene dáva výsledky, ktoré nikto nedokáže porovnať.

Potom sa pozrite na trasu, ktorú klient volí. Konkrétnejšia miestna trasa môže poslať paket inam skôr, než sa WireGuard vôbec opýta, čo sa stáva vždy, keď sa domáca LAN prekrýva so vzdialeným rozsahom.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Adresa, ktorá sa preloží na fyzické rozhranie, už na otázku odpovedala. Tunel nič nezahadzuje. Paket doň nikdy nevstúpil.

Počítadlá sú dôkaz, nie verdikt

wg show hlási odoslané a prijaté bajty pre každú protistranu a tie dve čísla sa pohybujú nezávisle. Odčítajte hodnoty, vykonajte jednu povolenú požiadavku a potom do tej istej minúty odčítajte znova.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Rastúce odosielanie pri plochom prijímaní je podpis nezodpovedanej požiadavky. Nehovorí, či bola požiadavka filtrovaná, či bolo cieľové miesto mimo prevádzky alebo či odpoveď odišla inou trasou. To sú tri vyšetrovania s rovnakým príznakom. Oddeľte ich, kým zmeníte akúkoľvek konfiguráciu.

Ani pevný počet bajtov nie je prahom úspechu. Hodnoty počítadiel sledujú prevádzku a branie jedného čísla ako dôkazu zdravia dáva sebavedomý nezmysel.

Protistrana si vracajúci sa paket kontroluje sama

Vzdialená protistrana prijme vnútorný paket len vtedy, keď zdroj padne do jej allowedips. Trasa, ktorá existuje u odosielateľa, nestačí. Chýbajúci záznam zdroja u príjemcu ticho zahodí spätnú prevádzku.

Firewally hostiteľa stoja za touto kontrolou. Pravidlo preposielania, ktoré povolí rozhranie tunela, ale nie vnútornú podsieti, handshake prijme a paket odmietne. Z pohľadu klienta to vyzerá presne ako mŕtva protistrana. Hostiteľ s dvoma rozhraniami môže tiež odpovedať zo zlého zdroja a protistrana potom zahodí odpoveď, ktorú nikdy nečakala.

Udržte experiment poctivý

Testovanie profilu vzdialeného prístupu z tej istej domácej siete, ktorú má dosiahnuť, precvičuje inú cestu, než bola zamýšľaná. Presuňte sa na externú sieť a poznamenajte si jej miestny prefix, aby sa oba behy dali porovnať.

Malá úspešná výmena tiež nevylučuje všetky problémy s cestou. Väčšie pakety môžu zlyhať tam, kde malé prejdú, a filter, ktorý zodpovedá veľkosti alebo protokolu, sa pod záťažou môže správať inak.

Nechajte handshake ako známu funkčnú fázu a postupujte od nej ďalej. Ďalším užitočným dôkazom je, kde sa jedna vnútorná požiadavka zastaví, nie nová sada kľúčov a ďalšie kolo hádania.