Kopirani WireGuard profil: zašto oba uređaja ne rade

Tunel je radio na laptopu, pa je konfiguracijska datoteka prenesena na telefon i tablet, a sada rukovanja dolaze i odlaze na sva tri uređaja. Ništa nije pogrešno otkucano i serverska konfiguracija nije mijenjana. WireGuard profil nije račun s lozinkom koji može koristiti nekoliko uređaja; to je par ključeva, a samo javna polovina identificira partnera. Kopiranje datoteke kopira identitet, pa server sada pokušava održati jedan odnos krajnje točke za nekoliko uređaja koji svi tvrde da su isti. Sa serverske strane nema drugog uređaja koji bi se primijetio, samo partner čija se adresa stalno mijenja.

Počnite sa zapisnikom rukovanja na svakom uređaju

Otvorite klijent na svakom uređaju i zabilježite vrijeme posljednjeg rukovanja i trenutnu krajnju točku prije nego što bilo šta promijenite. U ispravnoj postavci te vrijednosti ostaju stabilne dok je uređaj u upotrebi; kod dupliciranog identiteta vremenske oznake se izmjenjuju, a krajnja točka zabilježena na serveru može opisivati drugi uređaj od onog koji drži profil. Ta izmjena je potpis i objašnjava zašto simptom izgleda kao nestabilna veza, a ne kao greška u konfiguraciji. Uređaji nisu pokvareni; oni prekidaju jedan drugi.

Čitajte na samim uređajima, tako da svako zapažanje bude vezano za konkretnu mašinu. Vremenska oznaka kopirana iz razgovora s podrškom gubi tu vezu i nakon toga vrijedi vrlo malo.

Potvrdite dijele li dva uređaja jedan identitet

Uspoređujte javne ključeve, nikada privatne. Javni ključ se izvodi iz privatnog, pa dva profila s istim privatnim ključem daju isti javni ključ i za server su nerazlučivi. Ako dva uređaja prijavljuju isti javni ključ, pitanje je riješeno i nikakvo podešavanje keepalive neće pomoći. Dva različita ključa s nestabilnim rukovanjima upućuju sasvim drugdje, zato poređenje mora doći prije bilo kakve promjene.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Ove naredbe ispisuju samo javni materijal i brojače, a to je sve što razgovor s podrškom treba. Serverski unos partnera s jednim javnim ključem i krajnjom točkom koja se stalno kreće između dvije mreže očekivani je rezultat dupliciranja, jer autentificirani paket s novog izvora ažurira kamo se promet šalje. Takvo ponašanje je protokol koji radi kako je projektiran, zato se tako lako zamijeni za mrežni kvar.

Ispravno osigurajte drugi identitet

Generirajte novi par ključeva na uređaju kojem je potreban, zatim dodajte dobiveni javni ključ na server kao zasebnog partnera s vlastitim dopuštenim adresama. Privatni ključ treba stvoriti na uređaju i ondje ostati; ključ generiran drugdje i zalijepljen prošao je kroz barem jedno dodatno mjesto, a to putovanje sada je dio priče o povjerenju.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Serverska strana treba javni ključ plus dodjelu dopuštene adrese koja se ne sudara s originalnim uređajem. Profil koji zadržava staru adresu tunela, a predstavlja novi ključ, stvara partnera kojeg server može prihvatiti i zatim pogrešno usmjeriti, što je suptilniji kvar od odbijenog rukovanja. Provjerite dodjelu adrese prije povezivanja, a ne nakon prvog zbunjujućeg gubitka paketa.

Umirovite duplikat bez lomljenja originala

Kad novi identitet proradi, uklonite kopirani profil iz susjedstva originalnog uređaja umjesto brisanja serverskog unosa koji original još koristi. Ako je kopija možda bila izložena, umjesto toga odmah je opozovite, pa izdajte novu; udobnost nije razlog da zajedničku tajnu ostavite u opticaju.

Upravljana usluga koja istinski podržava nekoliko uređaja po pretplati to će vam reći i izdati zasebne vjerodajnice iz vlastitog sučelja. Ručno dupliciranje jednog profila nikada nije taj model, čak i kada brendiranje usluge sugerira neograničen broj uređaja.

Testirajte oba uređaja odvojeno i zajedno

Prvo provjerite svaki uređaj zasebno: rukovanje, brojači prijenosa koji se kreću i odredište do kojeg samo tunel može doći. Zatim pokrenite oba istovremeno i gledajte kako server vidi krajnje točke; dva različita ključa trebaju dati dva stabilna unosa partnera, a ne jedan koji skače.

Čuvajte nove javne ključeve uz bilješke o postavljanju i zabilježite koji uređaj drži koji. Bez tog popisa sljedeća osoba koja kopira profil ponovit će istu grešku, a izmjenična rukovanja opet će se pripisati mreži.