Rokovanje WireGuard uspe, a odgovora ni nazaj

Nedavna rokovanja so dobra novica in veliko manjša trditev kot stavek, ki ga ljudje želijo napisati. Strani sta si izmenjali overjena sporočila rokovanja. Paket aplikacije pa mora še vedno priti do svojega notranjega cilja in se vrniti.

Ta vrzel med zdravim krmilnim slojem in tihim podatkovnim slojem je tu vsa tema. Dve odčitavanji istih števcev vam povesta, na kateri strani te vrzeli ste.

Rokovanje dokazuje ključe, ne dostave

Rokovanje WireGuard je dogovor o ključih z overjanjem. Uspe takoj, ko se strani lahko dosežeta in imata veljavne ključe. Usmerjanje, pravila požarnega zidu in sam cilj so vprašanja, ki jih rokovanje nikoli ne postavi.

Tako je tunel lahko popolnoma vzpostavljen, medtem ko se vsak paket v njem zavrže. Napačno usmerjen notranji paket in odgovor, ki gre po drugi poti, sta s stališča odjemalca videti enako.

En notranji naslov je celotna preizkušnja

Izberite en cilj in ostanite pri njem. Lastni naslov tunela nasprotne strani je najlažji primer, gostitelj za njo pa doda natanko en skok. Preklapljanje med njima brez zapisa spremembe daje rezultate, ki jih nihče ne more primerjati.

Nato poglejte pot, ki jo izbere odjemalec. Bolj natančna lokalna pot lahko pošlje paket drugam, še preden se WireGuard sploh vpraša, in to se zgodi vsakič, ko se domače omrežje LAN prekriva z oddaljenim obsegom.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Naslov, ki se razreši na fizični vmesnik, je na vprašanje že odgovoril. Tunel ničesar ne zavrže. Paket vanj nikoli ni vstopil.

Števci so dokaz, ne razsodba

wg show poroča poslane in prejete bajte na stran, ti dve števili pa se premikata neodvisno. Vzemite odčitek, izvedite eno dovoljeno zahtevo in nato v isti minuti vzemite še enega.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Naraščanje pošiljanja ob ravnem prejemu je podpis zahteve brez odgovora. Ne pove, ali je bila zahteva filtrirana, ali je bil cilj ugasnjen ali ali je odgovor odšel po drugi poti. To so tri preiskave z enim simptomom. Ločite jih, preden spremenite katero koli konfiguracijo.

Tudi fiksno število bajtov ni prag uspeha. Vrednosti števcev sledijo prometu, obravnavanje enega števila kot dokaza zdravja pa daje samozavestno neumnost.

Nasprotna stran sama preveri povratni paket

Oddaljena stran sprejme notranji paket le, kadar vir pade v njen allowedips. Pot, ki obstaja pri pošiljatelju, ne zadostuje. Manjkajoč vnos vira pri prejemniku tiho zavrže povratni promet.

Požarni zidovi gostitelja stojijo za tem preverjanjem. Pravilo posredovanja, ki dovoli vmesnik tunela, ne pa notranjega podomrežja, rokovanje sprejme in paket zavrne. S stališča odjemalca je to videti natanko kot mrtva nasprotna stran. Gostitelj z dvema vmesnikoma lahko odgovori tudi z napačnega vira, in takrat stran zavrže odgovor, ki ga ni nikoli pričakovala.

Ohranite poskus pošten

Preizkušanje profila oddaljenega dostopa iz istega domačega omrežja, ki ga mora doseči, uri drugo pot od predvidene. Preidite v zunanje omrežje in zapišite njegovo lokalno predpono, da bo mogoče oba zagona primerjati.

Tudi majhna uspešna izmenjava ne izključi vseh težav s potjo. Večji paketi lahko odpovejo tam, kjer majhni gredo skozi, in filter, ki se ujema po velikosti ali protokolu, se pod obremenitvijo lahko obnaša drugače.

Rokovanje obdržite kot znano delujočo stopnjo in nadaljujte od nje. Naslednji koristen dokaz je, kje se ena notranja zahteva ustavi, ne nov sklop ključev in še en krog ugibanja.