Nagtatagumpay ang pakikipagkamay ng WireGuard, ngunit walang sagot na bumabalik

Ang mga kamakailang pakikipagkamay ay magandang balita, at mas maliit na pag-aangkin kaysa sa pangungusap na gustong isulat ng mga tao. Nagpalitan ang dalawang panig ng mga authenticated na mensahe ng pakikipagkamay. Kailangan pa ring makarating ng packet ng application sa panloob nitong destinasyon at makabalik.

Ang agwat sa pagitan ng malusog na control plane at tahimik na data plane ang buong paksa dito. Dalawang pagbasa ng parehong mga counter ang magsasabi kung aling panig ka nito.

Pinatutunayan ng pakikipagkamay ang mga susi, hindi ang paghahatid

Ang pakikipagkamay ng WireGuard ay isang kasunduan sa susi na may authentication. Nagtatagumpay ito sa sandaling maabot ng magkabilang panig ang isa't isa at may mga valid na susi. Ang routing, patakaran ng firewall at ang destinasyon mismo ay mga tanong na hindi kailanman itinatanong ng pakikipagkamay.

Kaya ang tunnel ay maaaring ganap na naitatag habang bawat packet sa loob nito ay itinatapon. Ang maling na-routing na panloob na packet at ang sagot na dumadaan sa ibang daan ay magkamukha kapag tiningnan mula sa kliyente.

Isang panloob na address ang buong pagsubok

Pumili ng isang destinasyon at manatili doon. Ang sariling tunnel address ng kabilang panig ang pinakamadaling kaso, at ang host sa likod nito ay nagdaragdag ng eksaktong isang hop. Ang paglilipat-lipat sa pagitan ng dalawa nang hindi itinatala ang pagbabago ay nagbibigay ng mga resultang walang makakapaghambing.

Pagkatapos tingnan ang ruta na pinipili ng kliyente. Ang mas partikular na lokal na ruta ay maaaring magpadala ng packet sa ibang lugar bago pa man tanungin ang WireGuard, at nangyayari ito sa tuwing nagsasapawan ang LAN sa bahay sa malayong saklaw.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Ang address na nare-resolve sa pisikal na interface ay nasagot na ang tanong. Walang itinatapon ang tunnel. Hindi kailanman pumasok ang packet dito.

Ang mga counter ay ebidensya, hindi hatol

wg show ay nag-uulat ng mga byte na ipinadala at natanggap bawat panig, at ang dalawang numero ay gumagalaw nang hiwalay. Kumuha ng isang pagbasa, gumawa ng isang pinapayagang kahilingan, pagkatapos ay kumuha ng isa pang pagbasa sa loob ng parehong minuto.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Ang pagpapadala na tumataas habang ang pagtanggap ay patag ay ang lagda ng kahilingang walang sagot. Hindi nito sinasabi kung na-filter ang kahilingan, kung patay ang destinasyon, o kung lumabas ang sagot sa ibang ruta. Ito ay tatlong imbestigasyon na may isang sintomas. Paghiwalayin ang mga ito bago baguhin ang anumang configuration.

Ang takdang bilang ng byte ay hindi rin threshold ng tagumpay. Ang mga halaga ng counter ay sumusunod sa trapiko, at ang pagtrato sa isang numero bilang patunay ng kalusugan ay gumagawa ng kumpiyansang kalokohan.

Ang kabilang panig mismo ang nagbabantay sa pabalik na packet

Tumatanggap lamang ang malayong panig ng panloob na packet kapag ang pinagmulan ay nahuhulog sa loob ng allowedips ng panig na iyon. Hindi sapat ang rutang umiiral sa nagpadala. Ang nawawalang entry ng pinagmulan sa tatanggap ay nagtatapon ng pabalik na trapiko nang tahimik.

Nasa likod ng pagsusuring iyon ang mga firewall ng host. Ang tuntunin sa pagpapasa na pinapayagan ang interface ng tunnel ngunit hindi ang panloob na subnet ay tumatanggap ng pakikipagkamay at tinatanggihan ang packet. Mula sa panig ng kliyente ay mukhang eksaktong patay na kabilang panig iyon. Maaari ring sumagot mula sa maling pinagmulan ang isang host na may dalawang interface, at itinatapon ng kabilang panig ang sagot na hindi nito inaasahan.

Panatilihing tapat ang eksperimento

Ang pagsubok sa isang profile ng malayuang access mula sa parehong home network na dapat nitong maabot ay nagsasanay ng ibang daan kaysa sa nilalayon. Lumipat sa panlabas na network at itala ang lokal nitong prefix, upang maihambing ang dalawang pagtakbo.

Ang maliit na matagumpay na palitan ay hindi rin nag-aalis ng lahat ng problema sa daan. Ang mas malalaking packet ay maaaring mabigo kung saan dumadaan ang maliliit, at ang filter na tumutugma sa laki o protocol ay maaaring kumilos nang iba sa ilalim ng load.

Panatilihin ang pakikipagkamay bilang ang yugtong alam na gumagana at sumulong mula roon. Ang susunod na kapaki-pakinabang na ebidensya ay kung saan humihinto ang isang panloob na kahilingan, hindi isang bagong set ng susi at isa pang pag-ikot ng haka-haka.