Копиран профил на WireGuard: защо и двете устройства се провалят

Тунелът работеше на лаптопа, затова конфигурационният файл отиде на телефона и таблета, а сега ръкостисканията се появяват и изчезват и на трите. Нищо не е написано грешно и сървърната конфигурация не е редактирана. Профилът на WireGuard не е акаунт с парола, който няколко устройства могат да използват; това е двойка ключове и само публичната половина идентифицира партньора. Копирането на файла копира идентичността, така че сървърът сега се опитва да поддържа една връзка с крайна точка за няколко устройства, които всички твърдят, че са едно и също. От страна на сървъра няма второ устройство, което да се забележи, има само партньор, чийто адрес непрекъснато се мести.

Започнете с журнала на ръкостискането на всяко устройство

Отворете клиента на всяко устройство и запишете времето на последното ръкостискане и текущата крайна точка, преди да промените каквото и да е. При здрава настройка тези стойности остават стабилни, докато устройството се използва; при дублирана идентичност времевите маркери се редуват и записаната на сървъра крайна точка може да описва различно устройство от това, което държи профила. Това редуване е подписът и обяснява защо симптомът изглежда като нестабилна връзка, а не като грешка в конфигурацията. Устройствата не са счупени; те се прекъсват взаимно.

Четете на самите устройства, така че всяко наблюдение да е свързано с конкретна машина. Времевият маркер, копиран от чат за поддръжка, губи тази връзка и след това струва много малко.

Потвърдете дали две устройства споделят една идентичност

Сравнявайте публичните ключове, никога частните. Публичният ключ се извлича от частния, така че два профила с един и същ частен ключ дават един и същ публичен ключ и са неразличими за сървъра. Ако две устройства съобщават един и същ публичен ключ, въпросът е решен и никаква настройка на keepalive няма да помогне. Два различни ключа с нестабилни ръкостискания сочат съвсем другаде и затова сравнението трябва да дойде преди всяка промяна.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Тези команди отпечатват само публичен материал и броячи, което е всичко, което една поддръжка се нуждае. Запис на партньор в сървъра с един публичен ключ и крайна точка, която непрекъснато се движи между две мрежи, е очакваният резултат от дублирането, защото удостоверен пакет от нов източник актуализира къде се изпраща трафикът. Това поведение е протоколът, работещ както е проектиран, и затова толкова лесно се бърка с мрежова неизправност.

Създайте втора идентичност правилно

Генерирайте нова двойка ключове на устройството, което се нуждае от нея, след това добавете получения публичен ключ към сървъра като отделен партньор със свои разрешени адреси. Частният ключ трябва да бъде създаден на устройството и да остане там; ключ, генериран другаде и поставен, е преминал през поне още едно място и това пътуване вече е част от историята на доверието.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Сървърната страна се нуждае от публичния ключ плюс задаване на разрешен адрес, който не се сблъсква с оригиналното устройство. Профил, който запазва стария адрес на тунела, но представя нов ключ, създава партньор, който сървърът може да приеме и след това да маршрутизира неправилно, което е по-фина повреда от отказано ръкостискане. Проверете задаването на адреса преди свързване, а не след първата объркваща загуба на пакети.

Оттеглете дубликата, без да чупите оригинала

След като новата идентичност работи, премахнете копирания профил от съседите на оригиналното устройство, вместо да изтриете сървърния запис, който оригиналът все още използва. Ако копието може да е било изложено, вместо това го отменете незабавно и след това издайте ново; удобството не е причина да оставите споделена тайна в обращение.

Управлявана услуга, която наистина поддържа няколко устройства на абонамент, ще ви го каже и ще издаде отделни идентификационни данни от собствения си интерфейс. Ръчното дублиране на един профил никога не е този модел, дори когато брандирането на услугата подсказва неограничени устройства.

Тествайте двете устройства поотделно и заедно

Проверете всяко устройство самостоятелно първо: ръкостискане, броячи на трансфера, които се движат, и дестинация, до която само тунелът може да стигне. След това пуснете и двете едновременно и наблюдавайте как сървърът вижда крайните точки; два различни ключа трябва да дадат два стабилни записа за партньори, а не един, който подскача.

Пазете новите публични ключове с бележките за внедряване и записвайте кое устройство кой държи. Без този списък следващият човек, който копира профил, повтаря същата повреда и редуващите се ръкостискания отново ще бъдат обвинени в мрежата.