ملف WireGuard منسوخ: لماذا يفشل الجهازان

عمل النفق على الحاسوب المحمول، فنُقل ملف الإعداد إلى الهاتف والجهاز اللوحي، والآن تظهر المصافحات وتختفي على الأجهزة الثلاثة. لم يُكتب شيء خطأً ولم يُعدَّل إعداد الخادم. ملف WireGuard ليس حسابًا بكلمة مرور يجوز لعدة أجهزة استخدامه؛ إنه زوج مفاتيح، والنصف العلني وحده هو ما يعرّف النظير. ونسخ الملف ينسخ الهوية، لذا يحاول الخادم الآن الحفاظ على علاقة نقطة نهاية واحدة لعدة أجهزة كلها تدّعي أنها الجهاز نفسه. من جهة الخادم لا يوجد جهاز ثانٍ يُلاحظ، بل نظير يتنقل عنوانه باستمرار.

ابدأ بسجل المصافحة على كل جهاز

افتح العميل على كل جهاز وسجّل وقت آخر مصافحة ونقطة النهاية الحالية قبل تغيير أي شيء. في الإعداد السليم تبقى هذه القيم ثابتة ما دام الجهاز قيد الاستخدام؛ وفي الهوية المكررة تتبادل الطوابع الزمنية الظهور، وقد تصف نقطة النهاية المسجلة على الخادم جهازًا مختلفًا عن الجهاز الذي يحمل الملف. هذا التبادل هو العلامة المميزة، وهو يفسر لماذا تبدو الأعراض كاتصال متقطع لا كخطأ في الإعداد. الأجهزة ليست معطوبة؛ إنها تقاطع بعضها بعضًا.

اقرأ على الأجهزة نفسها، لترتبط كل مشاهدة بجهاز محدد. الطابع الزمني المنسوخ من محادثة دعم يفقد هذا الارتباط وتصبح قيمته ضئيلة بعد ذلك.

أكِّد ما إذا كان جهازان يتشاركان هوية واحدة

قارن المفاتيح العلنية، لا الخاصة أبدًا. يُشتق المفتاح العلني من المفتاح الخاص، لذا ينتج ملفان يحملان المفتاح الخاص نفسه المفتاح العلني نفسه ويصيران غير قابلين للتمييز لدى الخادم. إذا أبلغ جهازان عن المفتاح العلني نفسه، فقد حُسم السؤال ولن يساعد أي ضبط لـ keepalive. مفتاحان مختلفان مع مصافحات متقطعة يشيران إلى مكان آخر تمامًا، ولهذا يجب أن تأتي المقارنة قبل أي تغيير.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

تطبع هذه الأوامر مواد علنية وعدادات فقط، وهذا كل ما تحتاجه محادثة دعم. مدخل نظير على الخادم بمفتاح علني واحد ونقطة نهاية تتنقل باستمرار بين شبكتين هو النتيجة المتوقعة للتكرار، لأن حزمة موثقة من مصدر جديد تحدّث مكان إرسال حركة المرور. هذا السلوك هو البروتوكول يعمل كما صُمم، ولهذا يُخطئ كثيرًا باعتباره عطلًا في الشبكة.

أنشئ هوية ثانية بالطريقة الصحيحة

ولّد زوج مفاتيح جديدًا على الجهاز الذي يحتاج إليه، ثم أضف المفتاح العلني الناتج إلى الخادم كنظير منفصل له عناوينه المسموح بها. ينبغي إنشاء المفتاح الخاص على الجهاز وبقاؤه هناك؛ أما المفتاح المولّد في مكان آخر والملصق فقد مرّ بمكان إضافي واحد على الأقل، وأصبحت تلك الرحلة جزءًا من قصة الثقة.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

يحتاج جانب الخادم إلى المفتاح العلني وإلى تخصيص عنوان مسموح لا يتعارض مع الجهاز الأصلي. الملف الذي يحتفظ بعنوان النفق القديم مع تقديم مفتاح جديد ينتج نظيرًا قد يقبله الخادم ثم يوجّه حركته بشكل خاطئ، وهذا عطل أخفى من مصافحة مرفوضة. تحقق من تخصيص العنوان قبل الاتصال، لا بعد أول فقدان حزم مربك.

أسقط النسخة المكررة دون كسر الأصل

بعد أن تعمل الهوية الجديدة، أزل الملف المنسوخ من جوار الجهاز الأصلي بدلًا من حذف مدخل الخادم الذي ما زال الأصل يستخدمه. إذا كان الملف المنسوخ قد انكشف، فأبطِله فورًا وأعد الإصدار؛ فالراحة ليست سببًا لترك سر مشترك متداولًا.

الخدمة المُدارة التي تدعم فعلًا عدة أجهزة لكل اشتراك ستخبرك بذلك وتصدر بيانات اعتماد منفصلة من واجهتها. النسخ اليدوي لملف واحد ليس ذلك النموذج أبدًا، حتى عندما توحي علامة الخدمة بأجهزة غير محدودة.

اختبر الجهازين منفردين ومعًا

تحقق من كل جهاز بمفرده أولًا: المصافحة، وعدادات النقل تتحرك، ووجهة لا يصل إليها إلا النفق. ثم شغّل الاثنين في الوقت نفسه وراقب رؤية الخادم لنقاط النهاية؛ يجب أن ينتج مفتاحان مختلفان مدخلَي نظير مستقرين لا مدخلًا واحدًا يقفز.

احفظ المفاتيح العلنية الجديدة مع ملاحظات النشر وسجّل أي جهاز يحمل أي مفتاح. بدون تلك القائمة، سيكرر الشخص التالي الذي ينسخ ملفًا الخطأ نفسه، وستُلام المصافحات المتبادلة على الشبكة مرة أخرى.