Kopieret WireGuard-profil: hvorfor begge enheder fejler

Tunnelen fungerede på bærbaren, så konfigurationsfilen blev kopieret til telefonen og tabletten, og nu kommer og går handshakes på alle tre. Intet blev skrevet forkert, og serverkonfigurationen blev ikke redigeret. En WireGuard-profil er ikke en konto med adgangskode, som flere enheder må bruge; det er et nøglepar, og kun den offentlige halvdel identificerer en peer. Kopiering af filen kopierer identiteten, så serveren forsøger nu at holde ét endpoint-forhold for flere enheder, der alle hævder at være den samme. Fra serverens side er der ingen anden enhed at bemærke, kun en peer, hvis adresse hele tiden flytter sig.

Begynd med handshake-loggen på hver enhed

Åbn klienten på hver enhed, og notér tidspunktet for den seneste handshake og det aktuelle endpoint, før du ændrer noget. I et sundt setup forbliver disse værdier stabile, mens en enhed er i brug; ved en duplikeret identitet skifter tidsstemplerne, og det endpoint, der er registreret på serveren, kan beskrive en anden enhed end den, der har profilen. Den vekslen er signaturen, og den forklarer, hvorfor symptomet ligner ustabil forbindelse snarere end en konfigurationsfejl. Enhederne er ikke i stykker; de afbryder hinanden.

Læs på enhederne selv, så hver observation er knyttet til en bestemt maskine. Et tidsstempel kopieret fra en supportchat mister den tilknytning og er derefter meget lidt værd.

Bekræft, om to enheder deler én identitet

Sammenlign de offentlige nøgler, aldrig de private. Den offentlige nøgle udledes af den private, så to profiler med samme private nøgle giver samme offentlige nøgle og er uadskillelige for serveren. Hvis to enheder rapporterer samme offentlige nøgle, er spørgsmålet afgjort, og ingen keepalive-indstilling vil hjælpe. To forskellige nøgler med ustabile handshakes peger et helt andet sted hen, og derfor skal sammenligningen komme før enhver ændring.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Disse kommandoer udskriver kun offentligt materiale og tællere, og det er alt, en supportsamtale behøver. En server-peer-post med én offentlig nøgle og et endpoint, der hele tiden flytter sig mellem to netværk, er det forventede resultat af duplikeringen, fordi en autentificeret pakke fra en ny kilde opdaterer, hvor trafikken sendes hen. Den adfærd er protokollen, der virker som designet, og derfor forveksles den så let med en netværksfejl.

Opret en anden identitet korrekt

Generér et nyt nøglepar på den enhed, der har brug for det, og tilføj derefter den resulterende offentlige nøgle til serveren som en separat peer med sine egne tilladte adresser. Den private nøgle bør oprettes på enheden og blive der; en nøgle, der er genereret andre steder og indsat, har været gennem mindst ét ekstra sted, og den rejse er nu en del af tillidshistorien.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Serversiden har brug for den offentlige nøgle plus en tildeling af tilladte adresser, der ikke kolliderer med den oprindelige enhed. En profil, der beholder den gamle tunneladresse, men præsenterer en ny nøgle, giver en peer, som serveren måske accepterer og derefter ruter forkert, hvilket er en mere subtil fejl end en afvist handshake. Kontrollér adressetildelingen, før du forbinder, ikke efter det første forvirrende pakketab.

Udfas kopien uden at ødelægge originalen

Når den nye identitet virker, skal du fjerne den kopierede profil fra den oprindelige enheds omgivelser i stedet for at slette den serverpost, som originalen stadig bruger. Hvis kopien kan have været eksponeret, skal du i stedet tilbagekalde den med det samme og derefter udstede en ny; bekvemmelighed er ikke grund til at lade en delt hemmelighed cirkulere.

En administreret tjeneste, der reelt understøtter flere enheder pr. abonnement, vil fortælle dig det og udstede separate legitimationsoplysninger fra sin egen grænseflade. Manuel duplikering af én profil er aldrig den model, selv når tjenestens branding antyder ubegrænsede enheder.

Test begge enheder hver for sig og sammen

Bekræft først hver enhed for sig: handshake, overførselstællere der bevæger sig, og en destination, som kun tunnelen kan nå. Kør derefter begge samtidig, og se på serverens opfattelse af endpoints; to forskellige nøgler bør give to stabile peer-poster i stedet for én, der hopper.

Opbevar de nye offentlige nøgler sammen med udrulningsnoterne, og notér, hvilken enhed der har hvilken. Uden den liste gentager den næste person, der kopierer en profil, den samme fejl, og de skiftende handshakes vil igen blive skudt netværket i skoene.