Gekopieerde WireGuard-profiel: waarom albei toestelle faal

Die tonnel het op die skootrekenaar gewerk, so die konfigurasielêer is na die selfoon en die tablet oorgedra, en nou kom en gaan die handshakes op al drie. Niks is verkeerd getik nie en die bedienerkonfigurasie is nie gewysig nie. ’n WireGuard-profiel is nie ’n rekening met ’n wagwoord wat verskeie toestelle mag gebruik nie; dit is ’n sleutelpaar, en die openbare helfte is die enigste ding wat ’n eweknie identifiseer. Om die lêer te kopieer, kopieer die identiteit, so die bediener probeer nou ’n enkele eindpuntverhouding onderhou vir verskeie toestelle wat almal voorgee dat hulle dieselfde een is. Van die bediener se kant is daar geen tweede toestel om raak te sien nie, net ’n eweknie wie se adres aanhoudend verskuif.

Begin met die handshake-log op elke toestel

Maak die kliënt op elke toestel oop en teken die laaste handshake-tyd en die huidige eindpunt aan voordat jy enigiets verander. Op ’n gesonde opstelling bly dié waardes stabiel terwyl ’n toestel in gebruik is; op ’n gedupliseerde identiteit wissel die tydstempels mekaar af, en die eindpunt wat op die bediener aangeteken is, kan ’n ander toestel beskryf as die een wat die profiel het. Daardie afwisseling is die kenmerk, en dit verduidelik waarom die simptoom soos wisselvallige verbinding lyk eerder as ’n konfigurasiefout. Die toestelle is nie stukkend nie; hulle onderbreek mekaar.

Doen die leeswerk op die toestelle self, sodat elke waarneming aan ’n spesifieke masjien gekoppel is. ’n Tydstempel wat uit ’n ondersteuningsgesprek gekopieer is, verloor daardie koppeling en is daarna min werd.

Bevestig of twee toestelle een identiteit deel

Vergelyk die openbare sleutels, nooit die private nie. Die openbare sleutel word van die private sleutel afgelei, so twee profiele met dieselfde private sleutel lewer dieselfde openbare sleutel en is vir die bediener ononderskeibaar. As twee toestelle dieselfde openbare sleutel rapporteer, is die saak beslis en geen mate van keepalive-instelling sal help nie. Twee verskillende sleutels met wisselvallige handshakes wys heeltemal elders, en daarom moet die vergelyking voor enige verandering kom.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Hierdie opdragte druk net openbare materiaal en tellers, wat alles is wat ’n ondersteuningsgesprek nodig het. ’n Bediener-eweknie-inskrywing met een openbare sleutel en ’n eindpunt wat tussen twee netwerke bly verskuif, is die verwagte gevolg van die duplisering, want ’n geoutentiseerde pakket van ’n nuwe bron werk by waar verkeer gestuur word. Daardie gedrag is die protokol wat werk soos ontwerp, en daarom word dit so maklik vir ’n netwerkfout aangesien.

Voorsien ’n tweede identiteit behoorlik

Genereer ’n nuwe sleutelpaar op die toestel wat een nodig het, en voeg dan die resulterende openbare sleutel by die bediener as ’n aparte eweknie met sy eie toegelate adresse. Die private sleutel moet op die toestel geskep word en daar bly; ’n sleutel wat elders gegenereer en ingeplak is, het deur ten minste een ekstra plek gereis, en daardie reis is nou deel van die vertrouensverhaal.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Die bedienerkant het die openbare sleutel nodig plus ’n toegelate-adrestoewysing wat nie met die oorspronklike toestel bots nie. ’n Profiel wat die ou tonneladres behou terwyl dit ’n nuwe sleutel aanbied, lewer ’n eweknie wat die bediener dalk aanvaar en dan verkeerd roeteer, wat ’n subtieler fout is as ’n geweierde handshake. Kontroleer die adrestoewysing voordat jy koppel, nie ná die eerste verwarrende pakketverlies nie.

Tree die duplikaat uit sonder om die oorspronklike te breek

Sodra die nuwe identiteit werk, verwyder die gekopieerde profiel uit die oorspronklike toestel se omgewing eerder as om die bedienerinskrywing te skrap wat die oorspronklike steeds gebruik. As die kopie moontlik blootgestel is, herroep dit dadelik eerder en reik dan weer uit; gerief is nie ’n rede om ’n gedeelde geheim in omloop te laat nie.

’n Bestuurde diens wat werklik verskeie toestelle per intekening ondersteun, sal dit vir jou sê en aparte geloofsbriewe uit sy eie koppelvlak uitreik. Handmatige duplisering van een profiel is nooit daardie model nie, selfs wanneer die diens se handelsmerk onbeperkte toestelle suggereer.

Toets albei toestelle afsonderlik en saam

Verifieer elke toestel eers op sy eie: handshake, oordragtellers wat beweeg, en ’n bestemming wat net die tonnel kan bereik. Laat albei dan terselfdertyd loop en kyk na die bediener se siening van eindpunte; twee verskillende sleutels behoort twee stabiele eweknie-inskrywings te lewer eerder as een wat spring.

Hou die nuwe openbare sleutels by die ontplooiingsnotas en teken aan watter toestel watter een het. Sonder daardie lys herhaal die volgende persoon wat ’n profiel kopieer dieselfde fout, en die afwisselende handshakes sal weer aan die netwerk toegeskryf word.