WireGuard eng so’nggi qo’l siqishni ko’rsatmayapti: avval nimani tekshirish kerak

Bo’sh eng so’nggi qo’l siqish maydoni odatda interfeys ko’tarilgandan beri hech qanday qo’l siqishni tugatmaganini bildiradi, bu esa konfiguratsiya haqida ko’ringanidan kamroq gapiradi. WireGuard paket interfeysdan chiqishi kerak bo’lmaguncha jim turadi, shuning uchun yuboradigan hech narsasi bo’lmagan bo’sh peer aynan shuni bildiradi. Kalitlarni tekshirishdan oldin haqiqatan ham biror narsa taklif qilinganini aniqlang.

Sinov — peer tashishi kerak bo’lgan manzil tomon ruxsat etilgan paket. O’sha holat ekranidagi qolgan hamma narsa faoliyatni emas, niyatni tasvirlaydi.

Bo’sh interfeysning aytadigan hech narsasi yo’q

WireGuard qo’l siqishlarni dangasalik bilan bajaradi: tunnel kerak bo’lgan birinchi paket almashinuvni boshlaydi va interfeys shu paytgacha jim turadi. Konfiguratsiya qilingan va hech qachon ishlatilmagan peer bo’sh qo’l siqish, nol qabul qilingan bayt va oxirgisidan beri o’sib borayotgan tanaffusni ko’rsatadi. Bu holat bo’sh mijoz uchun sog’lom va faqat trafik allaqachon oqib ketgan deb kutganingizda tashvishlidir. Uzatish hisoblagichlarini ham tekshiring, chunki ular hech-narsa-yuborilmagan holatni sinab-ko’rilgan-va-muvaffaqiyatsiz bo’lgan holatdan ajratadi.

Hisoblagichlar ikkala tomonda ham nolda tursa, muammo tunneldan yuqorida. Interfeysga biror narsani qo’zg’atadigan hech narsa yetib bormadi.

Peer tashishga ruxsat berilgan trafikni qo’zg’ating

Mahalliy mashinada peerning ruxsat etilgan prefikslari ichidan manzil tanlang va marshrutlash jadvali uni interfeys orqali yuborishini tasdiqlang. O’sha prefikslardan tashqaridagi manzil WireGuard ishtirokisiz oddiy marshrutlangan so’rov yaratadi. Tez javob beradigan xizmatdan foydalaning, masalan ping yoki qisqa TCP ulanishi, urinishning ko’rinadigan boshlanishi va oxiri bo’lishi uchun. So’ngra ekranga qarab kutish o’rniga qo’l siqish satrini qayta o’qing.

ip route get 10.60.9.5
ping -c 3 -W 2 10.60.9.5
wg show wg0 latest-handshakes
wg show wg0 transfer

Marshrut so’rovi pingdan muhimroq. Agar u jismoniy interfeysni nomlasa, paket tunnelga hech qachon kirmagan va bo’sh qo’l siqish kriptografik emas, marshrutlash javobi. Peerni tuzatishdan oldin marshrutni tuzating.

Kalit juftini va oxirgi nuqtani solishtiring

Trafik haqiqatan taklif qilingandan so’ng, keyingi tekshiruv identifikatsiya. Mahalliy shaxsiy kalit qarshi tomon ruxsat beradigan ochiq kalitga mos kelishi kerak, konfiguratsiya qilingan masofaviy ochiq kalit mo’ljallangan peerni aniqlashi kerak va har qanday oldindan bo’lishilgan kalit ikkala uchida mos kelishi kerak. base64 kalitdagi bitta belgi farqi konfiguratsiya qilingandek ko’rinadigan va hech qachon almashinuvni tugatmaydigan peer yaratadi. Kalitlarni qayta yaratish o’rniga ta’minot yozuvi bilan solishtiring, chunki yangi kalit eski kalitga ishongan har bir peerni bekor qiladi.

Oxirgi nuqta ham xuddi shunday tekshiruvni talab qiladi: xost nomi, manzil, UDP porti va unga yetish uchun ishlatiladigan oila. Eskirgan manzil yoki noto’g’ri port xabar o’rniga sukunat beradi.

Tashqi UDP yo’lini kuzating

Qo’l siqish UDP sifatida oxirgi nuqta tomon boradi, shuning uchun tashqi yo’l uni tashishi kerak. Quyidagi buyruqlar tinglovchi bor-yo’qligini, mahalliy stek datagrammani yuborganini va qaysi oxirgi nuqta konfiguratsiya qilinganini tekshiradi. Ushlashni trafikni qo’zg’atayotganda ishga tushiring, undan oldin emas.

ss -lunp | grep 51820
sudo tcpdump -ni eth0 udp port 51820
wg show wg0 endpoints
conntrack -L -p udp | grep 51820

Boshlanishni ko’rsatib, javob ko’rsatmaydigan ushlash mashinadan tashqariga ishora qiladi, chunki uzoq tomon yo tinglamayapti, yo filtrlangan, yo noto’g’ri manzillangan. Hech narsa ko’rsatmaydigan ushlash paket hech qachon chiqmaganini bildiradi, bu sizni marshrutga va o’yindagi har qanday socket belgisiga qaytaradi. Agar ikkala uchni boshqarsangiz, urinishni umumiy ushlash o’rniga serverdagi tor ushlash bilan vaqt belgisi bo’yicha bog’lang. TCP port sinovi bu yerda hech narsani isbotlamaydi, chunki protokol faqat UDP.

Qo’l siqish paydo bo’lishi bilan, ilovani tunnel orqali sinab ko’ring, chunki tugallangan almashinuv identifikatsiya va yetib borishni isbotlaydi, foydalanish mumkin bo’lgan o’tkazish qobiliyatini yoki to’g’ri DNSni emas. O’zgarishdan oldingi va keyingi holat chiqishini saqlang, farq sizning dalilingizga aylanadi.