WireGuard nagpapadala ng data ngunit walang bumabalik: aling panig?

Ang mga counter ng pagpapadala na tumataas habang ang counter ng pagtanggap ay nananatiling sero ay naglalarawan ng direksyon, hindi diagnosis. Ang parehong pagbasa ay lumilitaw kapag ang peer ay hindi kailanman nakumpleto ang pakikipagkamay, kapag pinili ng destinasyon ang maling peer, kapag ang malayong panig ay walang rutang pabalik, at kapag may filter na nagtatapon ng tugon sa daan pauwi. Ang bawat isa sa mga ito ay inaayos sa ibang lugar.

Ang paghahambing na nagpapaikli ng gawain ay nasa pagitan ng kahilingang hindi kailanman umalis sa tunel at tugon na hindi kailanman bumalik. Ang isang pagkuha sa tamang interface ang magpapasya sa pagitan ng dalawa.

Inilalarawan ng mga counter ang dami, hindi ang direksyon ng sira

Itinatala ng mga counter ng WireGuard ang ibinigay ng interface sa peer at ang natanggap nito mula rito. Hindi nila sinasabi kung aling destinasyon, aling peer, o aling kalahati ng palitan ang nabigo. Ginagawa ng trapikong pang-background na mas kaunti ang impormasyon ng mga kabuuan, dahil ang ilang byte ay maaaring mga mensahe ng pagpapanatili ng koneksyon o mga daloy na walang kaugnayan. Basahin ang mga ito bilang palatandaan na aktibo ang interface, pagkatapos ay itigil ang pagtrato sa mga ito bilang ebidensya.

Ang unang kapaki-pakinabang na katotohanan ay kung ang pakikipagkamay ay napapanahon. Kung wala ito, walang na-encrypt para sa peer na ito at walang dahilan ang counter ng pagtanggap na gumalaw.

Pagpili ng peer o daan ng tugon: dalawang paliwanag

Ang unang paliwanag ay hindi kailanman narating ng packet ang nilalayong peer, dahil tumuturo ang ruta sa ibang lugar o hindi sakop ng mga pinapayagang prefix ng peer ang destinasyon. Ang pangalawa ay nakarating ang packet ngunit hindi na makabalik ang tugon, na problema sa pagruruta sa malayong dulo. Hinihiwalay ng talahanayan ang dalawa ayon sa iyong mapapansin sa bawat punto.

Basahin ang talahanayan mula sa itaas. Ang kawalan ng pakikipagkamay ay nagpapadala sa iyo sa mga susi, mga dulo ng punto at sa panlabas na daan, dahil wala pang ibang susuriin. Ang napapanahong pakikipagkamay na may kahilingang nakikita sa server ay naglilipat ng problema sa direksyong pabalik, kung saan nagpapasya ang sariling talahanayan ng ruta ng destinasyon. Ang kahilingang hindi kailanman lumilitaw sa server ay problema sa pagpili, at ang mga pinapayagang prefix sa parehong peer ang unang dapat ihambing.

Dalawa sa apat na hanay na ito ay inaayos sa kliyente at dalawa sa server. Ang malaman kung aling pares ka naroroon ang malaking bahagi ng gawain.

Saan nawawala ang mga tugon

Ang tugon ay umaalis sa destinasyon, nararating ang interface ng tunel ng server at naka-encrypt para sa peer na ang mga pinapayagang address ay tumutugma sa panloob na address ng kliyente. Kung nabigo ang pagtutugmang iyon, ang tugon ay tahimik na itinatapon, na mula sa panig ng kliyente ay mukhang eksaktong sira ng network. Kung naka-encrypt ang tugon at tinatanggihan ito ng sariling filter ng kliyente, ang sintomas ay magkapareho muli. Ang dalawang kaso ay nangangailangan ng pagkuha, hindi ng counter.

Ang pinakamalakas na anyo ng pagkakamaling ito ay isang server na nagpapasa ng mga packet para sa kliyente ngunit walang rutang pabalik sa panloob na saklaw ng kliyente. Tinatanggap nito ang kahilingan, ipinapadala ang tugon patungo sa default gateway nito, at hindi ito nakikita ng tunel. Ang malawak na tuntunin sa pagsasalin na idinagdag sa server ay nagtatago ng sirang iyon sa halip na ayusin ang ruta.

Subukan ang isang destinasyon mula simula hanggang dulo

Pumili ng isang destinasyon sa loob ng saklaw ng peer, at subukan ito habang ang pakikipagkamay ay malinaw na napapanahon. Binabasa ng mga utos sa ibaba ang kalagayan ng peer, ang piniling ruta at ang dalawang panig ng palitan. Patakbuhin ang pagkuha sa interface na aktwal na ginagamit ng mga naka-encrypt na packet.

wg show wg0 latest-handshakes
wg show wg0 transfer
ip route get 10.60.9.5
sudo tcpdump -ni wg0 host 10.60.9.5

Ang pagkuha na nagpapakita ng kahilingan sa interface ng tunel na walang bumabalik ay tugon mula sa panig ng server, at ang talahanayan ng ruta ng destinasyon ang susunod na lugar na titingnan. Kung wala talagang lumilitaw, kumuha ng ibang daan ang packet, kaya ang lokal na ruta ang pinaghihinalaan. Ang palitang nakikita sa dalawang pagkuha ngunit walang pag-unlad sa aplikasyon ay naglilipat ng tanong sa laki ng packet o sa filter na hindi kailanman ipinapakita ng estadistika ng interface. Panatilihin ang isang destinasyon at isang kliyente sa pagsusulit, dahil ang ikalawang baryabol ay ginagawang impresyon muli ang ebidensya.

Kung nabigo ang mga pangalan habang gumagana ang pinapayagang address, ang sagot ay nasa DNS at hindi sa tunel. Kung ang malalaking paglilipat lamang ang natigil, suriin ang laki ng packet nang hiwalay.