Скапіяваны профіль WireGuard: чаму не працуюць абодва прылады

Тунэль працаваў на ноўтбуку, таму файл канфігурацыі перанеслі на тэлефон і планшэт, і цяпер рукапацісканні то ўзнікаюць, то знікаюць на ўсіх трох. Нічога не было надрукавана з памылкай, і канфігурацыя сервера не змянялася. Профіль WireGuard — гэта не ўліковы запіс з паролем, якім могуць карыстацца некалькі прылад; гэта пара ключоў, і толькі публічная палова ідэнтыфікуе партнёра. Капіяванне файла капіюе ідэнтычнасць, таму сервер цяпер спрабуе падтрымліваць адну сувязь з канчатковым пунктам для некалькіх прылад, якія ўсе выдаюць сябе за адну. З боку сервера другой прылады не існуе, ёсць толькі партнёр, адрас якога пастаянна змяняецца.

Пачніце з журнала рукапаціскання на кожнай прыладзе

Адкрыйце кліент на кожнай прыладзе і запішыце час апошняга рукапаціскання і бягучы канчатковы пункт, перш чым нешта змяняць. У здаровай наладзе гэтыя значэнні застаюцца стабільнымі, пакуль прылада выкарыстоўваецца; пры дубліраванай ідэнтычнасці адзнакі часу чаргуюцца, і канчатковы пункт, запісаны на серверы, можа апісваць іншую прыладу, чым тая, што трымае профіль. Гэтае чаргаванне і ёсць подпіс, і яно тлумачыць, чаму сімптом выглядае як няўстойлівае злучэнне, а не як памылка канфігурацыі. Прылады не зламаныя; яны перарываюць адна адну.

Чытайце на саміх прыладах, каб кожнае назіранне было прывязана да пэўнай машыны. Адзнака часу, скапіяваная з чата падтрымкі, губляе гэтую прывязку і потым мае вельмі малую каштоўнасць.

Пацвердзіце, ці дзве прылады падзяляюць адну ідэнтычнасць

Параўноўвайце публічныя ключы, ніколі прыватныя. Публічны ключ выводзіцца з прыватнага, таму два профілі з адным і тым жа прыватным ключом даюць адзін і той жа публічны ключ і для сервера неадрозныя. Калі дзве прылады паведамляюць адзін публічны ключ, пытанне вырашана, і ніякая наладка keepalive не дапаможа. Два розныя ключы з няўстойлівымі рукапацісканнямі паказваюць зусім у іншае месца, таму параўнанне павінна быць перад любым змяненнем.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Гэтыя каманды выводзяць толькі публічныя даныя і лічыльнікі, а гэта ўсё, што патрэбна для размовы з падтрымкай. Запіс партнёра на серверы з адным публічным ключом і канчатковым пунктам, які пастаянна перамяшчаецца паміж двума сеткамі, — гэта чаканы вынік дубліравання, бо аўтэнтыфікаваны пакет з новай крыніцы абнаўляе месца, куды накіроўваецца трафік. Такія паводзіны — гэта пратакол, які працуе як задумана, і таму яго так лёгка паблытаць з няспраўнасцю сеткі.

Стварыце другую ідэнтычнасць правільна

Стварыце новую пару ключоў на прыладзе, якой яна патрэбна, потым дадайце атрыманы публічны ключ на сервер як асобнага партнёра з уласнымі дазволенымі адрасамі. Прыватны ключ павінен быць створаны на прыладзе і застацца там; ключ, створаны ў іншым месцы і ўстаўлены, прайшоў праз прынамсі адно лішняе месца, і гэты шлях цяпер частка гісторыі даверу.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Сервернаму боку патрэбны публічны ключ і прызначэнне дазволенага адраса, якое не супадае з арыгінальнай прыладай. Профіль, які захоўвае стары адрас тунэля, але прад'яўляе новы ключ, стварае партнёра, якога сервер можа прыняць, а потым няправільна маршрутызаваць; гэта больш тонкая адмова, чым адмоўленае рукапацісканне. Праверце прызначэнне адраса перад падключэннем, а не пасля першай блытанай страты пакетаў.

Прыбярыце дублікат, не зламаўшы арыгінал

Калі новая ідэнтычнасць працуе, выдаліце скапіяваны профіль з акружэння арыгінальнай прылады, а не выдаляйце запіс сервера, які арыгінал дагэтуль выкарыстоўвае. Калі копія магла быць выкрытая, замест гэтага неадкладна адклічце яе і потым выдайце новую; зручнасць — не прычына пакідаць агульны сакрэт у абарачэнні.

Кіраваны сэрвіс, які сапраўды падтрымлівае некалькі прылад на падпіску, скажа вам пра гэта і выдасць асобныя ўліковыя даныя са свайго інтэрфейсу. Ручное дубліраванне аднаго профілю ніколі не з'яўляецца такой мадэллю, нават калі брэнд сэрвісу намякае на неабмежаваную колькасць прылад.

Праверце абодва прылады асобна і разам

Спачатку праверце кожную прыладу асобна: рукапацісканне, лічыльнікі перадачы рухаюцца, і прызначэнне, да якога можна дабрацца толькі праз тунэль. Потым запусціце абодва адначасова і паназірайце за тым, як сервер бачыць канчатковыя пункты; два розныя ключы павінны даць два стабільныя запісы партнёраў, а не адзін, які скача.

Захоўвайце новыя публічныя ключы разам з нататкамі пра разгортванне і запісвайце, якая прылада трымае які. Без гэтага спісу наступны чалавек, які скапіюе профіль, паўторыць тую ж памылку, і чаргуюцца рукапацісканні зноў спішуць на сетку.