Zkopírovaný profil WireGuard: proč selžou obě zařízení

Tunel fungoval na notebooku, takže se konfigurační soubor přenesl do telefonu a tabletu, a nyní handshaky na všech třech zařízeních přicházejí a odcházejí. Nic nebylo přepsáno a konfigurace serveru nebyla upravena. Profil WireGuard není účet s heslem, který může používat několik zařízení; je to pár klíčů a jen veřejná polovina identifikuje peer. Kopírování souboru kopíruje identitu, takže server se nyní snaží udržet jeden vztah koncového bodu pro několik zařízení, která všechna tvrdí, že jsou stejná. Ze strany serveru není žádné druhé zařízení, které by šlo zaznamenat, pouze peer, jehož adresa se neustále mění.

Začněte logem handshake na každém zařízení

Otevřete klienta na každém zařízení a než cokoli změníte, poznamenejte si čas posledního handshake a aktuální koncový bod. Ve zdravém nastavení tyto hodnoty zůstávají stabilní, dokud je zařízení používáno; u duplikované identity se časová razítka střídají a koncový bod zaznamenaný na serveru může popisovat jiné zařízení než to, které profil drží. Toto střídání je oním podpisem a vysvětluje, proč symptom vypadá jako nestabilní připojení, nikoli jako chyba konfigurace. Zařízení nejsou rozbitá; navzájem se přerušují.

Čtěte přímo na zařízeních, aby každé pozorování bylo spojeno s konkrétním strojem. Časové razítko zkopírované z podpůrného chatu toto spojení ztrácí a poté má jen velmi malou hodnotu.

Potvrďte, zda dvě zařízení sdílejí jednu identitu

Porovnávejte veřejné klíče, nikdy soukromé. Veřejný klíč se odvozuje ze soukromého, takže dva profily se stejným soukromým klíčem vytvoří stejný veřejný klíč a jsou pro server nerozlišitelné. Pokud dvě zařízení hlásí stejný veřejný klíč, otázka je vyřešena a žádné ladění keepalive nepomůže. Dva různé klíče s nestabilními handshaky ukazují úplně jinam, a proto musí porovnání přijít před jakoukoli změnou.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Tyto příkazy vypisují jen veřejný materiál a počítadla, což je vše, co podpůrná konverzace potřebuje. Záznam peeru na serveru s jedním veřejným klíčem a koncovým bodem, který se neustále přesouvá mezi dvěma sítěmi, je očekávaným výsledkem duplikace, protože ověřený paket z nového zdroje aktualizuje, kam se provoz posílá. Takové chování je protokol pracující podle návrhu, a proto je tak snadné si ho splést se síťovou závadou.

Vytvořte druhou identitu správně

Vygenerujte nový pár klíčů na zařízení, které ho potřebuje, a poté přidejte výsledný veřejný klíč na server jako samostatný peer s vlastními povolenými adresami. Soukromý klíč by měl vzniknout na zařízení a zůstat tam; klíč vygenerovaný jinde a vložený prošel alespoň jedním dalším místem a tato cesta je nyní součástí příběhu důvěry.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Strana serveru potřebuje veřejný klíč plus přiřazení povolené adresy, které nekoliduje s původním zařízením. Profil, který si ponechává starou adresu tunelu, ale představuje nový klíč, vytváří peer, který server může přijmout a potom směrovat nesprávně, což je jemnější selhání než odmítnutý handshake. Zkontrolujte přiřazení adresy před připojením, ne až po první matoucí ztrátě paketů.

Vyřaďte duplikát, aniž byste rozbili originál

Jakmile nová identita funguje, odstraňte zkopírovaný profil ze sousedství původního zařízení, místo abyste mazali záznam na serveru, který originál stále používá. Pokud mohla být kopie vystavena, raději ji okamžitě odvolejte a poté vystavte novou; pohodlí není důvodem nechávat sdílené tajemství v oběhu.

Spravovaná služba, která skutečně podporuje několik zařízení na předplatné, vám to řekne a vydá samostatné přihlašovací údaje ze svého rozhraní. Ruční duplikace jednoho profilu není nikdy tímto modelem, i když branding služby naznačuje neomezený počet zařízení.

Otestujte obě zařízení samostatně i společně

Nejprve ověřte každé zařízení samo: handshake, počítadla přenosu, která se hýbou, a cíl, kam se dostane jen tunel. Potom spusťte obě současně a sledujte, jak server vidí koncové body; dva odlišné klíče by měly vytvořit dva stabilní záznamy peerů, nikoli jeden, který poskakuje.

Uchovávejte nové veřejné klíče s poznámkami k nasazení a zaznamenejte, které zařízení drží který. Bez tohoto seznamu další člověk, který profil zkopíruje, zopakuje stejnou chybu a střídající se handshaky budou znovu svedeny na síť.