Gumagana ang WireGuard sa mobile data ngunit hindi sa parehong wifi

Bumangon ang tunnel sa mobile data at pagkatapos ay nananatili sa kumokonekta sa bahay, na may parehong profile, parehong peer key at walang pagbabago sa configuration sa pagitan. Nasa paglalakbay ang pagkakaiba: ang isang kahilingan mula sa loob ng LAN patungo sa pampublikong address ng router ay hindi kaparehong paglalakbay ng isang kahilingan na dumarating mula sa internet. Karamihan sa mga home gateway ay hindi ipinatutupad ang return path o ipinatutupad lamang ito para sa ilang protocol. Ginagawa nitong mukhang sirang key ang sintomas gayong walang gumalaw sa key. Alamin muna kung aling path ang nabigo bago hawakan ang isang key, isang port forward o isang client profile.

Isang address, dalawang magkaibang path

Mula sa labas, nararating ng isang packet ang pampublikong address ng router at ibinibigay ito ng isang port-forward rule sa WireGuard listener sa internal host. Mula sa loob, tinatawag ng client ang parehong pampublikong address, kaya lumalabas ang packet sa client, dumarating sa router at kailangang ibalik patungo sa LAN. Sa pagbabalik na iyon naghihiwalay ang dalawang path, dahil kailangang isalin ng router ang isang daloy na lumalabas at muling pumapasok sa parehong interface. Itinatapon ito ng maraming implementasyon sa halip na isalin, at pagkatapos ay naghihintay ang client ng handshake na hindi kailanman naipadala.

Karaniwang tinatawag ang gawi na ito na NAT loopback o hairpinning, at pag-aari ito ng router at hindi ng WireGuard; inilalahad ng RFC 4787 ang mga kaso ng pagsasalin kung saan maaaring suportahan ito ng isang gateway o hindi. Ang WireGuard mismo ay walang opinyon sa path, dahil nakikita lamang nito ang mga packet na umaabot sa interface nito. Kapag itinapon ng router ang daloy, hindi kailanman nakakatanggap ng anuman ang daemon, nag-uulat ang client ng handshake timeout, at nananatiling walang laman ang log ng server. Ang walang laman na log ay senyales kung saan huminto ang packet, hindi patunay na down ang server. Ito rin ang dahilan kung bakit walang binabago ang muling pag-install.

Mahalaga rin ang kabaligtaran: ang log ng server na nagpapakita ng pagtatangkang handshake mula sa address ng LAN ay nagpapatunay na nakarating ang packet at maayos ang path, na naglilipat ng imbestigasyon sa mga key at pinapayagang address. Basahin ang log para sa pinatutunayan nito, hindi para sa inaasahan mong makita.

I-reproduce muna bago magbago ng anuman

Subukan mula sa isang awtorisadong panlabas na network gamit ang parehong device at parehong profile, pagkatapos ay ulitin ang pagsubok sa loob ng LAN nang walang inedit na anuman. Ang natapos na handshake sa labas at client na sa loob ay hindi kailanman lumalabas sa device ay nagre-reproduce ng kondisyon sa halip na hulaan ito. Kailangang gamitin ng parehong pagtatangka ang parehong profile, o walang pinatutunayan ang paghahambing.

Pagkatapos tingnan kung saan nire-resolve ang endpoint name para sa device na ito. Ipinapakita rin ng sumusunod na tatlong command kung aling address ang aktuwal na tinawag ng client:

wg show wg0 endpoints
dig +short vpn.example.net A
resolvectl query vpn.example.net

Iniuulat ng unang command ang endpoint na ginagamit ng interface ngayon, at ipinapakita ng dalawa pa kung saan nire-resolve ang pangalan sa makina na ito. Ang client na tumatawag ng pampublikong address habang nasa parehong network ng server ay ginagamit ang hairpin path. Ang client na tumatawag ng address ng LAN ay hindi, at ang isang pagkabigo doon ay kabilang sa ibang imbestigasyon. Ang pagkakaibang iyon ang nagpapasya kung ang susunod na seksyon ay naaangkop man lang.

Mga sinusuportahang paraan upang maabot ang kalapit na server

Ang pinakamalinis na kaayusan ay isang split-horizon answer: nire-resolve ang pampublikong pangalan sa pampublikong address para sa internet at sa address ng LAN ng server para sa mga client sa loob. Isang endpoint name ang hinahawakan ng profile at pinipili ng resolver ang path. Kailangan nito ng kontrol sa panloob na sagot ng DNS, na karaniwang inaalok ng isang home router at maaaring sadyang ayusin ng isang organisasyon. Kung wala ang kontrol na iyon, ang natitirang pagpipilian ay isang feature ng router o isang pangalawang profile.

Ang feature ng router ay reflection: isinasalin ng gateway ang daloy mula loob patungo labas at ibinabalik ito sa loob. Kung saan gumagana, hindi ito nangangailangan ng pagbabago sa client, at kung saan hindi gumagana, walang setting ng client ang makakapagligtas nito. Subukan ito sa pamamagitan ng pagmamasid sa log ng server habang may panloob na pagtatangka sa halip na basahin ang listahan ng feature ng router.

Ang pag-edit ng profile patungo sa isang pribadong address ay isang diagnosis, hindi isang disenyo. Pinatutunayan nitong sumasagot ang server sa LAN, at sinisira nito ang parehong profile sa sandaling umalis ang laptop sa bahay.

Panatilihing magagamit ang profile kapag malayo sa bahay

Anuman ang path na piliin mo, iwanang tahimik ang identity check. Ang address ng endpoint ay hindi ang pagkakakilanlan ng peer, at kailanman ay hindi nagbibigay-katwiran ang pagbabago ng address sa pagtanggap ng isang walang kaugnayang pampublikong key na nagkataong sumasagot. Nagpapatunay ng pagkakakilanlan ang WireGuard sa pamamagitan ng key, kaya nabibigo ang maling host sa handshake sa halip na magbigay ng access sa isang bagay na hindi inaasahan.

Kung gumagalaw ang pampublikong address, ang dynamic DNS ang nagpapanatiling kapaki-pakinabang ang pangalan, at ang pag-uugali ng pag-refresh ng client ang nagpapasya kung gaano kabilis dumarating ang pagbabago. Subukan ito mula sa labas pagkatapos ng pagbabago ng address, dahil hindi ito makukumpirma ng kaso sa LAN. Mag-ingat sa isang resolver na nag-cache ng lumang sagot nang lampas sa haba ng buhay ng record. Ang pangalang tumuturo pa rin sa dating address ay eksaktong kamukha ng isang server na bumagsak.

Isulat kung aling pangalan ang ginagamit ng profile at kung saan ito nire-resolve sa bawat panig ng hangganan. Ang profile na umaasa sa isang feature ng router na walang nagtala ay isang tawag sa suporta na naghihintay ng susunod na firmware update. Ang tala rin ang nagsasabi sa susunod na tao kung ang isang panloob na pagkabigo ay ang kilalang hairpin case o isang bagay na bago.