Handshake ya WireGuard inafanya kazi, huduma haifanyi kazi

Handshake inakamilika, mteja anaonyesha kihesabu cha hivi karibuni cha uhamishaji, na bado ombi kwa huduma kwenye seva hiyo hiyo linashindikana. Mchanganyiko huo huwachanganya watu, kwa sababu handaki dhahiri inafanya kazi. Kilichothibitishwa si uwasilishaji wa ndani: pakiti ilifika kwa mwenyeji, na mwenyeji bado anapaswa kuikubali kwenye soketi sahihi na kuipitisha kwa mchakato wenye ruhusa ya kujibu. Pitia vituo hivyo vitatu vya ukaguzi kwa mpangilio.

Simama kwenye kile cha kwanza kisichoshikilia, na usiongeze kanuni kwa vingine.

Handshake inathibitisha handaki pekee

Handshake ya WireGuard huanzisha funguo kati ya wenzake na kuidhinisha trafiki kwa safu ambazo kila mwenzi aliorodhesha. Haisemi chochote kuhusu michakato ipi inasikiliza kwenye seva, na haisemi kama ukuta wa moto wa mwenyeji unakubali pakiti zilizoelekezwa kwa moja ya anwani zake mwenyewe.

Tofauti hiyo ya mwisho ndiyo inayokosekana zaidi: trafiki kwa mwenyeji mwenyewe ni ingizo la ndani, ilhali trafiki inayopita kwenye mwenyeji kuelekea mahali pengine ni upitishaji. Zinashughulikiwa na minyororo tofauti ya ukuta wa moto na mipangilio tofauti. Kukagua mnyororo usiofaa kunapoteza mchana na kurudisha vihesabu vinavyoonekana visivyo na hatia.

Soma msikilizaji na njia

Kwa mteja, thibitisha kwamba anwani ya handaki ya seva inaelekezwa ndani ya handaki. Kwa seva, thibitisha kwamba soketi ipo kwenye anwani ambayo mteja anatumia, na kwamba mchakato ulio nyuma ni ule uliokusudiwa.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

Msikilizaji kwenye 127.0.0.1 hatakaa ajibu ombi lililoelekezwa kwa 10.66.0.1, chochote ukuta wa moto unaruhusu. Msikilizaji kwenye anwani ya jumla atajibu, isipokuwa kanuni inamzuia. Orodha ya soketi kwa hivyo huamua nusu ya kesi kabla ya kuchunguza kanuni yoyote. Bandari na anwani pamoja huamua kama ombi linaweza kufika.

Linganisha anwani ambayo mteja anatumia na anwani ambayo seva inayo kweli kwenye kiolesura cha handaki. Mipangilio ya zamani upande wowote huzalisha ombi linaloelekezwa kwa usahihi kwa mwenzi asiye na anwani hiyo.

Tumia kanuni kwa ingizo la ndani, sio upitishaji

Ikiwa pakiti inafika na soketi ipo, mpaka uliobaki ni sera ya ingizo. Kanuni inayoruhusu upitishaji hairuhusu uwasilishaji wa ndani, na kanuni iliyozuiwa kwa kiolesura kimoja huenda isilingane na jina la kiolesura cha handaki unalotarajia.

Jaribu kwa bandari moja iliyoruhusiwa kuelekea huduma inayokusudiwa badala ya kufungua mwenyeji. Kisha kagua uidhinishaji wa programu yenyewe: orodha ya walioruhusiwa, sharti la akaunti au kufungwa kwa jina maalum la mwenyeji kunaweza kukataa ombi ambalo mtandao uliwasilisha kwa mafanikio.

Acha ukaguzi wa cheti mahali pake. Utambulisho usiotarajiwa wa cheti ni taarifa kuhusu mwenyeji gani alijibu, si kikwazo cha kukwepa. Kubofya kupita kunaficha kidokezo kimoja kinachotambua huduma isiyofaa.

Tenganisha kushindikana kwa jina, ukubwa na utambulisho

Huduma inayofanya kazi kwa anwani lakini inashindikana kwa jina ni tatizo la DNS, na marekebisho ni ya usanidi wa kitatuzi unaotumwa kwa mteja, si ya ukuta wa moto. Huduma inayojibu maombi madogo lakini inakwama kwenye majibu makubwa inaonyesha ukubwa wa pakiti na MTU, ambayo ni uchunguzi tofauti kabisa.

Hitilafu ya HTTPS inayotaja mwenyeji asiyefaa kwa kawaida inamaanisha ombi lilifika huduma nyingine, mara nyingi kwa sababu proksi au msikilizaji mwingine anamiliki bandari hiyo. Soma somo la cheti na ulinganishe na mwenyeji uliotaka kufikia. Ulinganisho huo haugharimu chochote na mara nyingi humaliza uchunguzi.

Andika ni kituo kipi cha ukaguzi kilichoshindikana: soketi, kanuni ya ingizo au sera ya programu. Mstari huo mmoja hutofautisha hitilafu ya mtandao na uamuzi wa uidhinishaji. Pia huzuia mtu anayefuata kufungua bandari ambazo hazikuwa tatizo kamwe.