WireGuard qo'l siqishi ishlaydi, xizmat ishlamaydi

Qo'l siqish yakunlanadi, mijoz yangi uzatish hisoblagichini ko'rsatadi, va shunga qaramay o'sha serverdagi xizmatga so'rov muvaffaqiyatsiz tugaydi. Bu birikma odamlarni chalg'itadi, chunki tunnel ko'rinib turibdiki ishlayapti. Isbotlanmagan narsa mahalliy yetkazib berish: paket xostga yetib bordi, xost esa uni hali ham to'g'ri soketda qabul qilib, javob berish huquqiga ega jarayonga topshirishi kerak. Shu uchta tekshiruv nuqtasini tartib bilan ko'rib chiqing.

To'g'ri kelmaydigan birinchisida to'xtang va qolganlari uchun qoida qo'shmang.

Qo'l siqish faqat tunnelni isbotlaydi

WireGuard qo'l siqishi tengdoshlar o'rtasida kalitlarni o'rnatadi va har bir tengdosh sanab o'tgan diapazonlar uchun trafikka ruxsat beradi. U serverda qaysi jarayonlar tinglayotgani haqida hech narsa aytmaydi, xostning xavfsizlik devori o'z manzillaridan biriga yuborilgan paketlarni qabul qiladimi, buni ham aytmaydi.

Aynan oxirgi farq ko'proq e'tibordan chetda qoladi: xostning o'ziga boradigan trafik mahalliy kirish, xost orqali boshqa joyga o'tadigan trafik esa yo'naltirish. Ularni turli xavfsizlik devori zanjirlari va turli sozlamalar boshqaradi. Noto'g'ri zanjirni tekshirish yarim kunni yo'qotadi va begunoh ko'rinadigan hisoblagichlarni qaytaradi.

Tinglovchi va marshrutni o'qing

Mijozda server tunnel manzili tunnelga yo'naltirilishini tasdiqlang. Serverda mijoz ishlatayotgan manzilda soket borligini va uning orqasidagi jarayon mo'ljallangani ekanini tasdiqlang.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

127.0.0.1 da tinglovchi 10.66.0.1 ga yuborilgan so'rovga hech qachon javob bermaydi, xavfsizlik devori nima ruxsat bersa ham. Umumiy manzildagi tinglovchi esa qoida to'sib qo'ymasa javob beradi. Shuning uchun soketlar ro'yxati har qanday qoidani ko'rishdan oldin ishlarning yarmini hal qiladi. Port va manzil birgalikda so'rov yetib borishi mumkinmi-yo'qmi, shuni belgilaydi.

Mijoz ishlatayotgan manzilni server tunnel interfeysida haqiqatan egalik qilgan manzil bilan solishtiring. Har ikki tomondagi eskirgan konfiguratsiya bunday manzilga ega bo'lmagan tengdoshga to'g'ri yo'naltirilgan so'rov yaratadi.

Mahalliy kirish uchun qoidalar qo'llang, yo'naltirish uchun emas

Agar paket yetib kelsa va soket mavjud bo'lsa, qolgan chegara kirish siyosatidir. Yo'naltirishga ruxsat beruvchi qoida mahalliy yetkazib berishga ruxsat bermaydi, bitta interfeys bilan cheklangan qoida esa siz kutgan tunnel interfeysi nomiga mos kelmasligi mumkin.

Xostni ochish o'rniga mo'ljallangan xizmatga bitta ruxsat etilgan port bilan sinab ko'ring. So'ngra ilovaning o'z avtorizatsiyasini tekshiring: ruxsat etilganlar ro'yxati, hisob talabi yoki ma'lum xost nomiga bog'lanish tarmoq muvaffaqiyatli yetkazgan so'rovni rad etishi mumkin.

Sertifikat tekshiruvlarini joyida qoldiring. Kutilmagan sertifikat identifikatsiyasi qaysi xost javob bergani haqidagi ma'lumot, chetlab o'tiladigan to'siq emas. Ustiga bosib o'tish noto'g'ri xizmatni aniqlaydigan yagona ishorani yashiradi.

Nom, hajm va identifikatsiya xatolarini ajrating

Manzil bo'yicha ishlab, nom bo'yicha ishlamaydigan xizmat DNS muammosidir va tuzatish xavfsizlik devorida emas, mijozga yuboriladigan hal qiluvchi konfiguratsiyasida. Kichik so'rovlarga javob berib, katta javoblarda tiqilib qoladigan xizmat paket hajmi va MTU ga ishora qiladi, bu butunlay boshqa tekshiruv.

Noto'g'ri xostni nomlaydigan HTTPS xatosi odatda so'rov boshqa xizmatga yetib kelganini bildiradi, ko'pincha proksi yoki boshqa tinglovchi o'sha portga egalik qiladi. Sertifikat mavzusini o'qing va yetib bormoqchi bo'lgan xostingiz bilan solishtiring. Bu solishtirish hech narsaga turmaydi va ko'pincha tekshiruvni tugatadi.

Qaysi tekshiruv nuqtasi muvaffaqiyatsiz bo'lganini yozib qo'ying: soket, kirish qoidasi yoki ilova siyosati. Shu bitta satr tarmoq nosozligini avtorizatsiya qaroridan ajratadi. Shuningdek, keyingi odam hech qachon muammo bo'lmagan portlarni ochishining oldini oladi.