Perfil de WireGuard copiat: per què fallen tots dos dispositius

El túnel funcionava a l’ordinador portàtil, així que el fitxer de configuració va passar al telèfon i a la tauleta, i ara els intercanvis van i vénen als tres dispositius. No s’ha escrit res malament ni s’ha editat la configuració del servidor. Un perfil de WireGuard no és un compte amb contrasenya que diversos dispositius puguin utilitzar; és una parella de claus, i només la meitat pública identifica un parell. Copiar el fitxer copia la identitat, així que ara el servidor intenta mantenir una única relació de punt final per a diversos dispositius que tots afirmen ser el mateix. Des del costat del servidor no hi ha cap segon dispositiu que notar, només un parell l’adreça del qual no para de moure’s.

Comenceu amb el registre d’intercanvis de cada dispositiu

Obriu el client a cada dispositiu i anoteu l’hora de l’últim intercanvi i el punt final actual abans de canviar res. En una configuració sana aquests valors es mantenen estables mentre un dispositiu està en ús; amb una identitat duplicada les marques de temps s’alternen, i el punt final registrat al servidor pot descriure un dispositiu diferent del que té el perfil. Aquesta alternança és la signatura, i explica per què el símptoma sembla una connectivitat inestable i no un error de configuració. Els dispositius no estan espatllats; s’interrompen entre ells.

Feu la lectura als mateixos dispositius, perquè cada observació quedi lligada a una màquina concreta. Una marca de temps copiada d’un xat de suport perd aquest vincle i després val molt poc.

Confirmeu si dos dispositius comparteixen una identitat

Compareu les claus públiques, mai les privades. La clau pública es deriva de la privada, així que dos perfils amb la mateixa clau privada produeixen la mateixa clau pública i són indistingibles per al servidor. Si dos dispositius informen de la mateixa clau pública, la qüestió queda resolta i cap ajust de keepalive no ajudarà. Dues claus diferents amb intercanvis inestables apunten a un altre lloc completament, i per això la comparació ha de venir abans de qualsevol canvi.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Aquestes ordres només imprimeixen material públic i comptadors, que és tot el que necessita una conversa de suport. Una entrada de parell al servidor amb una clau pública i un punt final que no para de moure’s entre dues xarxes és el resultat esperat de la duplicació, perquè un paquet autenticat d’una font nova actualitza on s’envia el trànsit. Aquest comportament és el protocol funcionant tal com es va dissenyar, i per això es confon tan fàcilment amb una fallada de xarxa.

Proporcioneu una segona identitat correctament

Genereu una parella de claus nova al dispositiu que en necessita una i després afegiu la clau pública resultant al servidor com un parell separat amb les seves pròpies adreces permeses. La clau privada s’ha de crear al dispositiu i quedar-s’hi; una clau generada en un altre lloc i enganxada ha passat per almenys un lloc addicional, i aquest viatge ara forma part de la història de confiança.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

El costat del servidor necessita la clau pública més una assignació d’adreça permesa que no xoqui amb el dispositiu original. Un perfil que conserva l’adreça de túnel antiga mentre presenta una clau nova produeix un parell que el servidor pot acceptar i després encaminar incorrectament, cosa que és una fallada més subtil que un intercanvi refusat. Comproveu l’assignació d’adreça abans de connectar, no després de la primera pèrdua de paquets desconcertant.

Retireu el duplicat sense trencar l’original

Quan la nova identitat funcioni, traieu el perfil copiat dels veïns del dispositiu original en lloc d’esborrar l’entrada del servidor que l’original encara utilitza. Si la còpia pot haver quedat exposada, revoqueu-la immediatament i torneu a emetre-la; la comoditat no és una raó per deixar un secret compartit en circulació.

Un servei gestionat que realment admeti diversos dispositius per subscripció us ho dirà i emetrà credencials separades des de la seva pròpia interfície. La duplicació manual d’un perfil no és mai aquest model, fins i tot quan la marca del servei suggereix dispositius il·limitats.

Proveu tots dos dispositius per separat i junts

Verifiqueu cada dispositiu pel seu compte primer: intercanvi, comptadors de transferència que es mouen i una destinació a la qual només el túnel pot arribar. Després executeu tots dos alhora i observeu com el servidor veu els punts finals; dues claus diferents haurien de produir dues entrades de parell estables en lloc d’una que salta.

Guardeu les claus públiques noves amb les notes de desplegament i anoteu quin dispositiu té quina. Sense aquesta llista, la propera persona que copiï un perfil repetirà la mateixa fallada, i els intercanvis alterns es tornaran a culpar de la xarxa.