Bắt tay WireGuard thành công nhưng không có phản hồi nào quay lại

Các cuộc bắt tay gần đây là tin tốt, và là một khẳng định nhỏ hơn nhiều so với câu mà người ta muốn viết. Hai bên đã trao đổi các thông điệp bắt tay đã xác thực. Gói của ứng dụng vẫn phải đến đích bên trong và quay về.

Khoảng cách giữa một mặt phẳng điều khiển khỏe mạnh và một mặt phẳng dữ liệu im lặng chính là toàn bộ chủ đề ở đây. Hai lần đọc cùng các bộ đếm cho bạn biết mình đang ở phía nào.

Bắt tay chứng minh khóa, không chứng minh việc gửi đến

Bắt tay của WireGuard là một thỏa thuận khóa có xác thực. Nó thành công ngay khi hai bên có thể đến được nhau và có khóa hợp lệ. Định tuyến, chính sách tường lửa và bản thân đích đến là những câu hỏi mà bắt tay không bao giờ đặt ra.

Vì vậy đường hầm có thể được thiết lập hoàn hảo trong khi mọi gói bên trong bị loại bỏ. Một gói bên trong bị định tuyến sai và một phản hồi đi đường khác trông giống nhau từ phía máy khách.

Một địa chỉ bên trong là toàn bộ bài kiểm tra

Chọn một đích và ở lại với nó. Địa chỉ đường hầm của chính bên kia là trường hợp dễ nhất, và một máy chủ phía sau nó thêm đúng một bước nhảy. Chuyển qua lại giữa hai địa chỉ mà không ghi lại thay đổi sẽ tạo ra kết quả không ai so sánh được.

Sau đó xem tuyến đường mà máy khách chọn. Một tuyến cục bộ cụ thể hơn có thể gửi gói đi nơi khác trước cả khi WireGuard được hỏi đến, và điều này xảy ra mỗi khi LAN trong nhà chồng lấn với dải từ xa.

ip route get 10.30.8.10
ip -4 addr show wg0
ip route show table all | grep -w wg0

Một địa chỉ phân giải ra giao diện vật lý đã trả lời câu hỏi rồi. Đường hầm không loại bỏ gì cả. Gói chưa bao giờ đi vào nó.

Bộ đếm là bằng chứng, không phải phán quyết

wg show báo cáo số byte đã gửi và đã nhận theo từng bên, và hai con số đó di chuyển độc lập. Hãy đọc một lần, thực hiện một yêu cầu được phép, rồi đọc lại trong cùng một phút.

wg show wg0 transfer
wg show wg0 latest-handshakes
ping -c 4 10.30.8.10
wg show wg0 transfer

Việc gửi tăng lên trong khi nhận đứng yên là dấu hiệu của một yêu cầu không có phản hồi. Nó không cho biết yêu cầu có bị lọc không, đích có tắt không, hay phản hồi đã đi theo tuyến khác. Đó là ba cuộc điều tra chung một triệu chứng. Hãy tách chúng ra trước khi thay đổi bất kỳ cấu hình nào.

Một số byte cố định cũng không phải ngưỡng thành công. Giá trị bộ đếm đi theo lưu lượng, và coi một con số là bằng chứng sức khỏe sẽ tạo ra sự vô nghĩa đầy tự tin.

Bên kia tự kiểm tra gói quay về

Bên xa chỉ chấp nhận một gói bên trong khi nguồn nằm trong allowedips của bên đó. Một tuyến đường tồn tại ở phía gửi là không đủ. Thiếu mục nguồn ở phía nhận sẽ âm thầm loại bỏ lưu lượng quay về.

Tường lửa của máy chủ nằm sau bước kiểm tra đó. Một quy tắc chuyển tiếp cho phép giao diện đường hầm nhưng không cho mạng con bên trong sẽ chấp nhận bắt tay và từ chối gói. Từ phía máy khách, điều đó trông giống hệt một bên đã chết. Một máy chủ có hai giao diện cũng có thể trả lời từ nguồn sai, và khi đó bên kia loại bỏ phản hồi mà nó chưa bao giờ chờ đợi.

Giữ thí nghiệm trung thực

Kiểm tra một hồ sơ truy cập từ xa từ chính mạng nhà mà nó phải đến sẽ luyện một đường khác với đường dự định. Hãy chuyển sang mạng bên ngoài và ghi lại tiền tố cục bộ của nó, để hai lần chạy có thể so sánh được.

Một trao đổi nhỏ thành công cũng không loại trừ mọi vấn đề về đường đi. Các gói lớn hơn có thể thất bại ở nơi gói nhỏ đi qua, và một bộ lọc khớp theo kích thước hoặc giao thức có thể hành xử khác dưới tải.

Giữ bắt tay như giai đoạn đã biết hoạt động và đi tiếp từ đó. Bằng chứng hữu ích tiếp theo là nơi một yêu cầu bên trong dừng lại, không phải một bộ khóa mới và thêm một vòng phỏng đoán.