Proffil WireGuard wedi’i gopïo: pam mae’r ddau ddyfais yn methu

Roedd y twnnel yn gweithio ar y gliniadur, felly aeth y ffeil gyfluniad i’r ffôn a’r llechen, ac yn awr mae’r ysgydwadau llaw yn dod ac yn mynd ar y tri. Ni chafodd unrhyw beth ei gamdeipio ac ni chafodd cyfluniad y gweinydd ei olygu. Nid cyfrif gyda chyfrinair yw proffil WireGuard y gall sawl dyfais ei ddefnyddio; pâr o allweddi ydyw, a’r hanner cyhoeddus yn unig sy’n adnabod cymar. Mae copïo’r ffeil yn copïo’r hunaniaeth, felly mae’r gweinydd bellach yn ceisio cadw un berthynas pwynt terfyn ar gyfer sawl dyfais sy’n honni i gyd mai’r un un ydynt. O ochr y gweinydd nid oes ail ddyfais i’w sylwi arni, dim ond cymar y mae ei gyfeiriad yn symud yn barhaus.

Dechreuwch gyda’r cofnod ysgwyd llaw ar bob dyfais

Agorwch y cleient ar bob dyfais a chofnodwch amser yr ysgwyd llaw diwethaf a’r pwynt terfyn presennol cyn newid unrhyw beth. Mewn gosodiad iach mae’r gwerthoedd hynny’n aros yn sefydlog tra bo dyfais yn cael ei defnyddio; gyda hunaniaeth wedi’i dyblygu mae’r stampiau amser yn ailgyfnewid, a gall y pwynt terfyn a gofnodwyd ar y gweinydd ddisgrifio dyfais wahanol i’r un sy’n dal y proffil. Yr ailgyfnewid hwnnw yw’r llofnod, ac mae’n esbonio pam mae’r symptom yn edrych fel cysylltedd anwadal yn hytrach na gwall cyfluniad. Nid yw’r dyfeisiau wedi torri; maent yn torri ar draws ei gilydd.

Gwnewch y darllen ar y dyfeisiau eu hunain, fel bod pob arsylwi ynghlwm wrth beiriant penodol. Mae stamp amser a gopïwyd o sgwrs cymorth yn colli’r cysylltiad hwnnw ac yn werth fawr iawn wedyn.

Cadarnhewch a yw dwy ddyfais yn rhannu un hunaniaeth

Cymharwch yr allweddi cyhoeddus, byth y rhai preifat. Deillir yr allwedd gyhoeddus o’r allwedd breifat, felly mae dau broffil sy’n cynnwys yr un allwedd breifat yn cynhyrchu’r un allwedd gyhoeddus ac yn anwahanadwy i’r gweinydd. Os yw dwy ddyfais yn adrodd yr un allwedd gyhoeddus, mae’r cwestiwn wedi’i setlo ac ni fydd unrhyw diwnio keepalive yn helpu. Mae dau allwedd wahanol gyda ysgydwadau llaw anwadal yn pwyntio i rywle hollol arall, a dyna pam mae’n rhaid i’r gymhariaeth ddod cyn unrhyw newid.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Dim ond deunydd cyhoeddus a chyfrifwyr y mae’r gorchmynion hyn yn eu hargraffu, a dyna’r cyfan sydd ei angen ar sgwrs gymorth. Cofnod cymar ar y gweinydd ag un allwedd gyhoeddus a phwynt terfyn sy’n symud rhwng dwy rwydwaith yw canlyniad disgwyliedig y dyblygu, oherwydd mae pecyn wedi’i ddilysu o ffynhonnell newydd yn diweddaru i ble y caiff traffig ei anfon. Ymddygiad y protocol yn gweithio fel y’i cynlluniwyd yw hwnnw, a dyna pam mae mor hawdd ei gamgymryd am fai rhwydwaith.

Darparwch ail hunaniaeth yn briodol

Cynhyrchwch bâr newydd o allweddi ar y ddyfais sydd angen un, yna ychwanegwch yr allwedd gyhoeddus sy’n deillio at y gweinydd fel cymar ar wahân gyda’i gyfeiriadau a ganiateir ei hun. Dylid creu’r allwedd breifat ar y ddyfais a’i chadw yno; mae allwedd a gynhyrchwyd yn rhywle arall ac a lapiwyd i mewn wedi teithio trwy o leiaf un lle ychwanegol, ac mae’r daith honno bellach yn rhan o’r stori ymddiriedaeth.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Mae ar ochr y gweinydd angen yr allwedd gyhoeddus ynghyd â neilltuad cyfeiriad a ganiateir nad yw’n gwrthdaro â’r ddyfais wreiddiol. Mae proffil sy’n cadw’r hen gyfeiriad twnnel wrth gyflwyno allwedd newydd yn cynhyrchu cymar y gall y gweinydd ei dderbyn ac yna ei lwybr yn anghywir, sy’n fethiant mwy cynnil nag ysgwyd llaw a wrthodwyd. Gwiriwch y neilltuad cyfeiriad cyn cysylltu, nid ar ôl y colled pecynnau gyntaf sy’n ddryslyd.

Dilewch y dyblyg heb dorri’r gwreiddiol

Unwaith y bydd yr hunaniaeth newydd yn gweithio, tynnwch y proffil wedi’i gopïo oddi wrth gymdogion y ddyfais wreiddiol yn hytrach na dileu’r cofnod ar y gweinydd y mae’r gwreiddiol yn dal i’w ddefnyddio. Os yw’r copi wedi bod yn agored o bosibl, dirymwch ar unwaith yn lle hynny, yna ailgyhoeddwch; nid yw hwylustod yn rheswm dros adael cyfrinach a rennir mewn cylchrediad.

Bydd gwasanaeth a reolir sy’n wir yn cefnogi sawl dyfais fesul tanysgrifiad yn dweud hynny wrthych ac yn cyhoeddi manylion mewngofnodi ar wahân o’i ryngwyneb ei hun. Nid yw dyblygu un proffil â llaw byth yn y model hwnnw, hyd yn oed pan fo brand y gwasanaeth yn awgrymu dyfeisiau diderfyn.

Profwch y ddwy ddyfais ar wahân ac gyda’i gilydd

Gwiriwch bob dyfais ar ei phen ei hun yn gyntaf: ysgwyd llaw, cyfrifwyr trosglwyddo yn symud, a chyrchfan na all ond y twnnel gyrraedd. Yna rhedegwch y ddwy ar yr un pryd a gwylwch sut mae’r gweinydd yn gweld y pwyntiau terfyn; dylai dau allwedd wahanol gynhyrchu dau gofnod cymar sefydlog yn hytrach nag un sy’n neidio.

Cadwch yr allweddi cyhoeddus newydd gyda’r nodiadau defnyddio a chofnodwch pa ddyfais sy’n dal pa un. Heb y rhestr honno, bydd y person nesaf sy’n copïo proffil yn ailadrodd yr un methiant, a bydd yr ysgydwadau llaw bob yn ail yn cael eu beio ar y rhwydwaith eto.