Руковање WireGuard-а успева, али одговор се не враћа

Недавна руковања су добра вест и много мања тврдња од реченице коју људи желе да напишу. Стране су размениле аутентификоване поруке руковања. Пакет апликације ипак мора да стигне до свог унутрашњег одредишта и да се врати.

Тај јаз између здравог контролног слоја и немог податковног слоја је цела тема овде. Два очитавања истих бројача говоре вам на којој сте страни.

Руковање доказује кључеве, не доставу

Руковање WireGuard-а је договор о кључевима са аутентификацијом. Успева чим стране могу да дођу једна до друге и имају важеће кључеве. Рутирање, правила заштитног зида и само одредиште су питања која руковање никада не поставља.

Тако тунел може бити савршено успостављен док се сваки пакет у њему одбацује. Погрешно рутиран унутрашњи пакет и одговор који крене другим путем изгледају исто са клијентове стране.

Једна унутрашња адреса је цео тест

Изаберите једно одредиште и останите при њему. Сопствена адреса тунела друге стране најлакши је случај, а хост иза ње додаје тачно један скок. Мењање између њих без бележења промене даје резултате које нико не може да упореди.

Затим погледајте руту коју клијент бира. Специфичнија локална рута може послати пакет негде другде пре него што се WireGuard уопште пита, а то се дешава кад год се кућни LAN преклапа са удаљеним опсегом.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Адреса која се разрешава на физички интерфејс већ је одговорила на питање. Тунел ништа не одбацује. Пакет никада није ушао у њега.

Бројачи су доказ, не пресуда

wg show пријављује бајтове послате и примљене по страни, а та два броја се крећу независно. Узмите очитавање, упутите један дозвољени захтев, па узмите ново очитавање у истом минуту.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Раст слања уз равно примање потпис је неодговореног захтева. То не каже да ли је захтев филтриран, да ли је одредиште било угашено или је одговор отишао другом рутом. То су три истраге са једним симптомом. Раздвојите их пре него што промените било коју конфигурацију.

Ни фиксан број бајтова није праг успеха. Вредности бројача прате саобраћај, а третирање једног броја као доказа здравља даје самоуверену бесмислицу.

Друга страна сама проверава повратни пакет

Удаљена страна прихвата унутрашњи пакет само када извор падне унутар allowedips те стране. Рута која постоји код пошиљаоца није довољна. Недостајући унос извора код примаоца тихо одбацује повратни саобраћај.

Заштитни зидови хоста стоје иза те провере. Правило прослеђивања које дозвољава интерфејс тунела али не унутрашњу подмрежу прихвата руковање и одбија пакет. Са клијентове стране то изгледа тачно као мртва друга страна. Хост са два интерфејса може такође одговорити са погрешног извора, а страна тада одбацује одговор који никада није очекивала.

Држите експеримент поштеним

Тестирање профила удаљеног приступа са исте кућне мреже коју треба достићи увежбава други пут од предвиђеног. Пређите на спољну мрежу и забележите њен локални префикс, како би два покретања могла да се упореде.

Мала успешна размена такође не искључује све проблеме са путем. Већи пакети могу пасти где мали пролазе, а филтер који се подудара по величини или протоколу може се под оптерећењем понашати другачије.

Задржите руковање као познату радну фазу и крените даље од ње. Следећи користан доказ је где се један унутрашњи захтев зауставља, а не нови скуп кључева и још један круг нагађања.