WireGuard nuk shfaq asnjë handshake të fundit: çfarë të kontrolloni fillimisht

Një fushë e zbrazët e handshake-ut të fundit zakonisht do të thotë që ndërfaqja nuk ka përfunduar asnjë handshake që kur u ngrit, gjë që thotë më pak për konfigurimin sesa duket. WireGuard qëndron i heshtur derisa një paketë duhet të dalë përmes ndërfaqes, kështu që një peer joaktiv pa asgjë për të dërguar raporton pikërisht këtë. Përcaktoni nëse diçka u ofrua vërtet përpara se të inspektoni çelësat.

Testi është një paketë e lejuar drejt një destinacioni që peer-i duhet të mbajë. Çdo gjë tjetër në atë ekran statusi përshkruan qëllim, jo aktivitet.

Një ndërfaqe joaktive nuk ka asgjë për të raportuar

WireGuard i bën handshake-t me përtaci: paketa e parë që ka nevojë për tunelin nis shkëmbimin, dhe ndërfaqja qëndron e heshtur deri atëherë. Një peer i konfiguruar dhe i papërdorur ndonjëherë shfaq një handshake bosh, zero bajt të marra dhe një hendek në rritje që nga i fundit. Kjo gjendje është e shëndetshme për një klient joaktiv dhe shqetësuese vetëm nëse prisnit që trafiku të kishte rrjedhur tashmë. Kontrolloni edhe numëruesit e transferimit, sepse ata ndajnë asgjë-e-dërguar nga provuar-dhe-dështuar.

Nëse numëruesit qëndrojnë në zero në të dy anët, problemi është mbi tunelin. Asgjë nuk arriti në ndërfaqe për të nisur diçka.

Aktivizoni trafikun që peer-i lejohet të mbajë

Zgjidhni një adresë brenda prefiksave të lejuara të peer-it, në makinën lokale, dhe konfirmoni që tabela e rrugëtimit do ta dërgonte përmes ndërfaqes. Një destinacion jashtë atyre prefiksave prodhon një kërkesë të zakonshme të rrugëtuar pa asnjë përfshirje të WireGuard. Përdorni një shërbim që përgjigjet shpejt, si ping ose një lidhje e shkurtër TCP, që përpjekja të ketë një fillim dhe fund të dukshëm. Pastaj lexoni përsëri rreshtin e handshake-ut në vend që të shikoni ekranin dhe të prisni.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

Kërkimi i rrugës ka më shumë rëndësi se ping. Nëse ai emërton ndërfaqen fizike, paketa nuk hyri kurrë në tunel dhe handshake-u bosh është përgjigje rrugëtimi, jo kriptografike. Rregulloni rrugën përpara se të korrigjoni gabimet e peer-it.

Krahasoni çiftin e çelësave dhe pikën përfundimtare

Pasi trafiku ofrohet vërtet, identiteti është kontrolli tjetër. Çelësi privat lokal duhet të korrespondojë me çelësin publik që autorizon ana tjetër, çelësi publik i largët i konfiguruar duhet të identifikojë peer-in e synuar, dhe çdo çelës i ndarë paraprakisht duhet të përputhet në të dy skajet. Një ndryshim i vetëm karakteri në një çelës base64 prodhon një peer që duket i konfiguruar dhe nuk përfundon kurrë një shkëmbim. Krahasoni me regjistrin e furnizimit në vend që të rigjeneroni çelësat, sepse një çelës i ri anulon çdo peer që i besonte atij të vjetër.

Pika përfundimtare kërkon të njëjtin shqyrtim: emri i hostit, adresa, porta UDP dhe familja e përdorur për ta arritur. Një adresë e vjetruar ose porta e gabuar prodhon heshtje në vend të një mesazhi.

Vëzhgoni shtegun e jashtëm UDP

Handshake-u udhëton si UDP drejt pikës përfundimtare, pra shtegu i jashtëm duhet ta mbajë atë. Komandat më poshtë kontrollojnë nëse ekziston një dëgjues, nëse stiva lokale e lëshoi datagramin dhe cila pikë përfundimtare është konfiguruar. Ekzekutoni kapjen ndërsa aktivizoni trafikun, jo përpara tij.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Një kapje që tregon nisjen pa përgjigje tregon jashtë makinës, sepse skaji i largët ose nuk dëgjon, ose është i filtruar, ose është i adresuar gabimisht. Një kapje që nuk tregon asgjë do të thotë që paketa nuk doli kurrë, gjë që ju kthen te rruga dhe te çdo shenjë socket në lojë. Kur administroni të dy skajet, lidhni përpjekjen sipas vulës kohore me një kapje të ngushtë në server në vend të një të përgjithshme. Një test porte TCP nuk provon asgjë këtu, sepse protokolli është vetëm UDP.

Sapo të shfaqet një handshake, provoni një aplikacion përmes tunelit, sepse një shkëmbim i përfunduar provon identitetin dhe arritshmërinë, jo një qarkullim të përdorshëm ose DNS të saktë. Ruani daljen e statusit përpara dhe pas ndryshimit, dhe ndryshimi bëhet prova juaj.