WireGuard el sıkışması başarılı oluyor ama yanıt geri gelmiyor

Yakın zamandaki el sıkışmalar iyi haber ve insanların yazmak istediği cümleden çok daha küçük bir iddia. İki taraf kimliği doğrulanmış el sıkışma mesajları alışverişinde bulundu. Uygulama paketi yine de iç hedefine ulaşıp geri dönmek zorunda.

Sağlıklı bir kontrol düzlemi ile sessiz bir veri düzlemi arasındaki bu boşluk buradaki bütün konu. Aynı sayaçların iki okuması size bunun hangi tarafında olduğunuzu söyler.

El sıkışma anahtarları kanıtlar, teslimatı değil

WireGuard el sıkışması kimlik doğrulamalı bir anahtar anlaşmasıdır. Taraflar birbirine ulaşabildiği ve geçerli anahtarları olduğu anda başarılı olur. Yönlendirme, güvenlik duvarı ilkesi ve hedefin kendisi el sıkışmanın asla sormadığı sorular.

Yani tünel kusursuz kurulmuş olabilirken içindeki her paket düşürülür. Yanlış yönlendirilmiş bir iç paket ile başka bir yol tutan yanıt, istemci tarafından aynı görünür.

Tek bir iç adres bütün testtir

Bir hedef seçin ve onda kalın. Karşı tarafın kendi tünel adresi en kolay durumdur ve arkasındaki bir ana bilgisayar tam olarak bir atlama ekler. Aralarında değişikliği not etmeden gidip gelmek, kimsenin karşılaştıramayacağı sonuçlar üretir.

Sonra istemcinin seçtiği yola bakın. Daha belirgin bir yerel yol, paketi WireGuard'a hiç sorulmadan başka bir yere gönderebilir ve bu, ev LAN'ı uzak aralıkla çakıştığında her zaman olur.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Fiziksel arayüze çözülen bir adres soruyu zaten yanıtlamıştır. Tünel hiçbir şey düşürmüyor. Paket oraya hiç girmedi.

Sayaçlar kanıttır, hüküm değil

wg show taraf başına gönderilen ve alınan baytları bildirir ve bu iki sayı birbirinden bağımsız hareket eder. Bir okuma alın, izin verilen tek bir istek yapın, sonra aynı dakika içinde başka bir okuma alın.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Alım düz seyrederken gönderimin artması yanıtsız bir isteğin imzasıdır. İsteğin filtrelenip filtrelenmediğini, hedefin kapalı olup olmadığını veya yanıtın başka bir yoldan çıkıp çıkmadığını söylemez. Bunlar tek bir belirtiyi paylaşan üç araştırmadır. Herhangi bir yapılandırmayı değiştirmeden önce bunları ayırın.

Sabit bir bayt sayısı da başarı eşiği değildir. Sayaç değerleri trafiği izler ve tek bir sayıyı sağlık kanıtı saymak kendinden emin bir saçmalık üretir.

Karşı taraf dönüş paketini kendisi denetler

Uzak taraf bir iç paketi yalnızca kaynak o tarafın allowedips içine düştüğünde kabul eder. Gönderende var olan bir yol yeterli değildir. Alıcıda kaynak girdisi yoksa dönüş trafiği sessizce düşürülür.

Ana bilgisayar güvenlik duvarları o denetimin arkasındadır. Tünel arayüzüne izin verip iç alt ağa izin vermeyen bir yönlendirme kuralı el sıkışmayı kabul eder ve paketi reddeder. İstemci tarafından bu tam olarak ölü bir taraf gibi görünür. İki arayüzlü bir ana bilgisayar yanlış kaynaktan da yanıt verebilir ve o zaman taraf hiç beklemediği yanıtı atar.

Deneyi dürüst tutun

Uzak erişim profilini ulaşması gereken aynı ev ağından test etmek, amaçlanan yoldan farklı bir yolu çalıştırır. Dış ağa geçin ve yerel önekini not edin, böylece iki koşu karşılaştırılabilir.

Küçük bir başarılı alışveriş de bütün yol sorunlarını dışlamaz. Daha büyük paketler küçüklerin geçtiği yerde başarısız olabilir ve boyuta veya protokole uyan bir filtre yük altında farklı davranabilir.

El sıkışmayı bilinen çalışan aşama olarak tutun ve oradan ilerleyin. Bir sonraki yararlı kanıt, bir iç isteğin nerede durduğudur; yeni bir anahtar kümesi ve bir tur daha tahmin değil.