কপি করা WireGuard প্রোফাইল: কেন দুটি ডিভাইসই ব্যর্থ হয়

ল্যাপটপে টানেলটি কাজ করছিল, তাই কনফিগার ফাইলটি ফোন ও ট্যাবলেটে কপি করা হলো, আর এখন তিনটিতেই হ্যান্ডশেক আসছে-যাচ্ছে। কিছুই ভুল টাইপ হয়নি এবং সার্ভার কনফিগারেশন সম্পাদনা করা হয়নি। WireGuard প্রোফাইল হলো পাসওয়ার্ডসহ কোনো অ্যাকাউন্ট নয় যা একাধিক ডিভাইস ব্যবহার করতে পারে; এটি একটি কী জোড়া, এবং শুধু পাবলিক অর্ধেকই একটি পিয়ারকে শনাক্ত করে। ফাইল কপি করা মানে পরিচয় কপি করা, তাই সার্ভার এখন এমন একাধিক ডিভাইসের জন্য একক এন্ডপয়েন্ট সম্পর্ক ধরে রাখতে চাইছে যারা সবাই নিজেদের একই বলে দাবি করে। সার্ভারের দিক থেকে লক্ষ্য করার মতো দ্বিতীয় কোনো ডিভাইস নেই, কেবল একটি পিয়ার যার ঠিকানা ক্রমাগত বদলায়।

প্রতিটি ডিভাইসে হ্যান্ডশেক লগ দিয়ে শুরু করুন

প্রতিটি ডিভাইসে ক্লায়েন্ট খুলে কিছু পরিবর্তন করার আগে সর্বশেষ হ্যান্ডশেক সময় ও বর্তমান এন্ডপয়েন্ট লিখে রাখুন। সুস্থ সেটআপে ডিভাইস ব্যবহারের সময় এসব মান স্থির থাকে; নকল পরিচয়ে টাইমস্ট্যাম্পগুলো পালা করে আসে, এবং সার্ভারে রেকর্ড করা এন্ডপয়েন্ট প্রোফাইলটি যে ডিভাইসে আছে তার চেয়ে ভিন্ন ডিভাইসের বর্ণনা দিতে পারে। এই পালাবদলই হলো স্বাক্ষর, আর এটাই ব্যাখ্যা করে কেন উপসর্গটি কনফিগারেশন ত্রুটির বদলে অস্থির সংযোগের মতো দেখায়। ডিভাইসগুলো নষ্ট নয়; তারা একে অপরকে বাধা দিচ্ছে।

পড়াটা ডিভাইসগুলোর নিজের উপরেই করুন, যাতে প্রতিটি পর্যবেক্ষণ নির্দিষ্ট একটি মেশিনের সঙ্গে যুক্ত থাকে। সাপোর্ট চ্যাট থেকে কপি করা টাইমস্ট্যাম্প সেই সংযোগ হারায় এবং পরে খুব কম মূল্যবান হয়।

দুটি ডিভাইস একই পরিচয় ভাগ করছে কি না নিশ্চিত করুন

পাবলিক কী তুলনা করুন, কখনো প্রাইভেট নয়। প্রাইভেট কী থেকে পাবলিক কী উদ্ভূত হয়, তাই একই প্রাইভেট কী থাকা দুটি প্রোফাইল একই পাবলিক কী তৈরি করে এবং সার্ভারের কাছে অপরিচ্ছেদ্য। যদি দুটি ডিভাইস একই পাবলিক কী রিপোর্ট করে, তবে প্রশ্নটি নিষ্পত্তি হয়েছে এবং কোনো keepalive টিউনিং সাহায্য করবে না। অস্থির হ্যান্ডশেকসহ দুটি ভিন্ন কী সম্পূর্ণ অন্য জায়গায় ইঙ্গিত করে, তাই কোনো পরিবর্তনের আগেই তুলনাটি আসতে হবে।

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

এই কমান্ডগুলো কেবল পাবলিক উপাদান ও কাউন্টার দেখায়, আর সাপোর্ট আলাপের জন্য এটুকুই যথেষ্ট। একটি পাবলিক কী ও দুটি নেটওয়ার্কের মধ্যে ক্রমাগত সরতে থাকা একটি এন্ডপয়েন্টসহ সার্ভার পিয়ার এন্ট্রি হলো নকলের প্রত্যাশিত ফল, কারণ নতুন উৎস থেকে প্রমাণিত প্যাকেট ট্রাফিক কোথায় পাঠানো হবে তা হালনাগাদ করে। এই আচরণ হলো প্রোটোকলের নকশা অনুযায়ী কাজ করা, তাই এটিকে নেটওয়ার্ক ত্রুটি ভেবে ভুল করা এত সহজ।

সঠিকভাবে দ্বিতীয় পরিচয় তৈরি করুন

যে ডিভাইসের প্রয়োজন সেখানে নতুন কী জোড়া তৈরি করুন, তারপর ফলস্বরূপ পাবলিক কী নিজের অনুমোদিত ঠিকানাসহ আলাদা পিয়ার হিসেবে সার্ভারে যোগ করুন। প্রাইভেট কী ডিভাইসেই তৈরি হওয়া উচিত এবং সেখানেই থাকা উচিত; অন্যত্র তৈরি করে পেস্ট করা কী অন্তত একটি অতিরিক্ত জায়গা দিয়ে গেছে, আর সেই যাত্রা এখন বিশ্বাসের গল্পের অংশ।

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

সার্ভারের দিকে পাবলিক কী এবং মূল ডিভাইসের সঙ্গে সংঘর্ষহীন একটি অনুমোদিত-ঠিকানা বরাদ্দ দরকার। পুরোনো টানেল ঠিকানা রেখে নতুন কী উপস্থাপন করা প্রোফাইল এমন পিয়ার তৈরি করে যা সার্ভার হয়তো গ্রহণ করে তারপর ভুলভাবে রাউট করে, যা প্রত্যাখ্যাত হ্যান্ডশেকের চেয়ে সূক্ষ্ম ব্যর্থতা। সংযোগের আগেই ঠিকানা বরাদ্দ যাচাই করুন, প্রথম বিভ্রান্তিকর প্যাকেট লসের পরে নয়।

মূলটি না ভেঙে নকলটি অবসরে পাঠান

নতুন পরিচয় কাজ শুরু করলে সার্ভার এন্ট্রি মুছে ফেলার বদলে মূল ডিভাইসের প্রতিবেশী থেকে কপি করা প্রোফাইলটি সরান, কারণ মূলটি এখনো সেই এন্ট্রি ব্যবহার করে। কপিটি যদি প্রকাশ পেয়ে থাকতে পারে, তবে বরং সাথে সাথে বাতিল করে আবার ইস্যু করুন; সুবিধা ভাগ করা গোপনীয়তা চালু রাখার কারণ নয়।

যে ম্যানেজড সার্ভিস সত্যিই এক সাবস্ক্রিপশনে একাধিক ডিভাইস সমর্থন করে, সেটি আপনাকে তা জানাবে এবং নিজের ইন্টারফেস থেকে আলাদা ক্রেডেনশিয়াল ইস্যু করবে। একটি প্রোফাইলের ম্যানুয়াল নকল কখনোই সেই মডেল নয়, এমনকি সার্ভিসের ব্র্যান্ডিং সীমাহীন ডিভাইসের ইঙ্গিত দিলেও।

দুটি ডিভাইস আলাদাভাবে ও একসাথে পরীক্ষা করুন

প্রথমে প্রতিটি ডিভাইস আলাদাভাবে যাচাই করুন: হ্যান্ডশেক, ট্রান্সফার কাউন্টার চলা, এবং এমন গন্তব্য যেখানে কেবল টানেলই পৌঁছাতে পারে। তারপর দুটিই একসাথে চালিয়ে সার্ভারের এন্ডপয়েন্ট-দৃষ্টি লক্ষ্য করুন; দুটি ভিন্ন কী একটি লাফানো এন্ট্রির বদলে দুটি স্থির পিয়ার এন্ট্রি তৈরি করা উচিত।

নতুন পাবলিক কীগুলো ডিপ্লয়মেন্ট নোটের সঙ্গে রাখুন এবং কোন ডিভাইসে কোনটি আছে তা লিখে রাখুন। সেই তালিকা ছাড়া প্রোফাইল কপি করা পরবর্তী ব্যক্তি একই ব্যর্থতার পুনরাবৃত্তি করবে, আর পালাবদল করা হ্যান্ডশেক আবার নেটওয়ার্কের উপর দোষারোপিত হবে।