Kopyalanmış WireGuard profili: niyə iki cihaz da uğursuz olur

Tunel noutbukda işləyirdi, ona görə konfiqurasiya faylı telefona və planşetə köçürüldü və indi hər üçündə handshake-lər gəlib-gedir. Heç nə səhv yazılmayıb və server konfiqurasiyası redaktə olunmayıb. WireGuard profili bir neçə cihazın istifadə edə biləcəyi parollu hesab deyil; o, bir açar cütüdür və peer-i identifikasiya edən yeganə şey açıq yarısıdır. Faylı kopyalamaq şəxsiyyəti kopyalayır, ona görə server indi hamısı eyni olduğunu iddia edən bir neçə cihaz üçün tək bir endpoint əlaqəsi saxlamağa çalışır. Server tərəfindən ikinci cihaz görmək mümkün deyil, yalnız ünvanı daim dəyişən bir peer var.

Hər cihazda handshake jurnalından başlayın

Hər cihazda müştərini açın və heç nəyi dəyişməzdən əvvəl son handshake vaxtını və cari endpoint-i qeyd edin. Sağlam qurmada bu dəyərlər cihaz istifadədə olarkən sabit qalır; təkrarlanmış şəxsiyyətdə isə vaxt damğaları növbələşir və serverdə qeyd olunan endpoint profili saxlayan cihazdan fərqli bir cihazı təsvir edə bilər. Bu növbələşmə həmin imzadır və simptomun niyə konfiqurasiya xətası deyil, qeyri-sabit bağlantı kimi göründüyünü izah edir. Cihazlar xarab deyil; onlar bir-birinin işini kəsir.

Oxumağı cihazların öz üzərində edin ki, hər müşahidə konkret maşına bağlansın. Dəstək söhbətindən kopyalanmış vaxt damğası bu bağlantını itirir və sonradan çox az dəyər daşıyır.

İki cihazın bir şəxsiyyəti paylaşıb-paylaşmadığını təsdiqləyin

Açıq açarları müqayisə edin, heç vaxt şəxsi açarları. Açıq açar şəxsi açardan törəyir, ona görə eyni şəxsi açarı saxlayan iki profil eyni açıq açarı verir və server üçün fərqləndirilə bilməz. Əgər iki cihaz eyni açıq açarı bildirirsə, məsələ həll olunub və heç bir keepalive tənzimləməsi kömək etməyəcək. Qeyri-sabit handshake-lərlə iki fərqli açar tamam başqa yerə işarə edir, buna görə müqayisə hər hansı dəyişiklikdən əvvəl gəlməlidir.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Bu əmrlər yalnız açıq material və sayğaclar çap edir ki, dəstək söhbəti üçün lazım olan da budur. Bir açıq açarı olan və iki şəbəkə arasında daim yer dəyişən endpoint-i olan server peer qeydi təkrarın gözlənilən nəticəsidir, çünki yeni mənbədən gələn autentifikasiya olunmuş paket trafikin hara göndərildiyini yeniləyir. Bu davranış protokolun dizayn üzrə işləməsidir, buna görə də onu şəbəkə nasazlığı ilə səhv salmaq çox asandır.

İkinci şəxsiyyəti düzgün yaradın

Ehtiyacı olan cihazda yeni açar cütü yaradın, sonra yaranan açıq açarı öz icazəli ünvanları ilə ayrıca peer kimi serverə əlavə edin. Şəxsi açar cihazda yaradılmalı və orada qalmalıdır; başqa yerdə yaradılıb yapışdırılan açar ən azı bir əlavə yerdən keçib və bu səyahət artıq etibar hekayəsinin bir hissəsidir.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Server tərəfinə açıq açar və orijinal cihazla toqquşmayan icazəli ünvan təyinatı lazımdır. Köhnə tunel ünvanını saxlayıb yeni açar təqdim edən profil, serverin qəbul edib sonra səhv yönləndirə biləcəyi bir peer yaradır ki, bu, rədd edilmiş handshake-dən daha incə bir nasazlıqdır. Ünvan təyinatını qoşulmadan əvvəl yoxlayın, ilk çaşdırıcı paket itkisindən sonra deyil.

Dublikatı orijinalı pozmadan çıxarın

Yeni şəxsiyyət işlədikdən sonra kopyalanmış profili orijinal cihazın qonşularından silin, orijinalın hələ istifadə etdiyi server qeydini silməyin. Əgər kopya açılmış ola bilərsə, dərhal ləğv edin və yenidən verin; rahatlıq ortaq sirri dövriyyədə saxlamaq üçün səbəb deyil.

Hər abunə üzrə bir neçə cihazı həqiqətən dəstəkləyən idarə olunan xidmət bunu sizə deyəcək və öz interfeysindən ayrı etimadnamələr verəcək. Bir profilin əl ilə təkrarlanması heç vaxt o model deyil, hətta xidmətin brendi limitsiz cihazlar təklif etsə də.

Hər iki cihazı ayrı-ayrılıqda və birlikdə sınaqdan keçirin

Əvvəlcə hər cihazı təkbaşına yoxlayın: handshake, ötürmə sayğaclarının hərəkəti və yalnız tunelin çata bildiyi təyinat. Sonra hər ikisini eyni vaxtda işə salın və serverin endpoint-lərə baxışını izləyin; iki fərqli açar tullanan bir qeyd yerinə iki sabit peer qeydi yaratmalıdır.

Yeni açıq açarları yerləşdirmə qeydləri ilə birlikdə saxlayın və hansı cihazın hansını saxladığını qeyd edin. O siyahı olmadan, profili kopyalayan növbəti şəxs eyni nasazlığı təkrarlayacaq və növbələşən handshake-lər yenidən şəbəkənin üstünə atılacaq.