Kopiertes WireGuard-Profil: Warum beide Geräte versagen

Der Tunnel lief auf dem Laptop, also wurde die Konfigurationsdatei auf das Handy und das Tablet übertragen, und nun kommen und gehen die Handshakes auf allen drei Geräten. Nichts wurde vertippt und die Serverkonfiguration wurde nicht bearbeitet. Ein WireGuard-Profil ist kein Konto mit Passwort, das mehrere Geräte nutzen dürfen; es ist ein Schlüsselpaar, und nur die öffentliche Hälfte identifiziert einen Peer. Das Kopieren der Datei kopiert die Identität, also versucht der Server nun, eine einzige Endpunktbeziehung für mehrere Geräte zu halten, die alle behaupten, dasselbe zu sein. Aus Sicht des Servers gibt es kein zweites Gerät zu bemerken, nur einen Peer, dessen Adresse sich ständig verschiebt.

Beginnen Sie mit dem Handshake-Protokoll auf jedem Gerät

Öffnen Sie den Client auf jedem Gerät und notieren Sie die letzte Handshake-Zeit und den aktuellen Endpunkt, bevor Sie etwas ändern. In einem gesunden Aufbau bleiben diese Werte stabil, solange ein Gerät benutzt wird; bei einer duplizierten Identität wechseln sich die Zeitstempel ab, und der auf dem Server erfasste Endpunkt kann ein anderes Gerät beschreiben als jenes, das das Profil hält. Dieser Wechsel ist die Signatur, und er erklärt, warum das Symptom wie eine wackelige Verbindung aussieht und nicht wie ein Konfigurationsfehler. Die Geräte sind nicht defekt; sie unterbrechen sich gegenseitig.

Lesen Sie auf den Geräten selbst, damit jede Beobachtung an eine bestimmte Maschine gebunden ist. Ein Zeitstempel, der aus einem Support-Chat kopiert wurde, verliert diese Bindung und ist danach wenig wert.

Bestätigen Sie, ob zwei Geräte eine Identität teilen

Vergleichen Sie die öffentlichen Schlüssel, niemals die privaten. Der öffentliche Schlüssel wird vom privaten abgeleitet, also erzeugen zwei Profile mit demselben privaten Schlüssel denselben öffentlichen Schlüssel und sind für den Server ununterscheidbar. Melden zwei Geräte denselben öffentlichen Schlüssel, ist die Frage entschieden, und keine Keepalive-Abstimmung wird helfen. Zwei verschiedene Schlüssel mit wackeligen Handshakes zeigen ganz woandershin, deshalb muss der Vergleich vor jeder Änderung kommen.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Diese Befehle geben nur öffentliches Material und Zähler aus, und mehr braucht ein Support-Gespräch nicht. Ein Peer-Eintrag auf dem Server mit einem öffentlichen Schlüssel und einem Endpunkt, der ständig zwischen zwei Netzwerken wechselt, ist das erwartete Ergebnis der Duplizierung, denn ein authentifiziertes Paket von einer neuen Quelle aktualisiert, wohin der Verkehr gesendet wird. Dieses Verhalten ist das Protokoll, das wie entworfen funktioniert, und deshalb wird es so leicht für einen Netzwerkfehler gehalten.

Stellen Sie eine zweite Identität ordnungsgemäß bereit

Erzeugen Sie ein neues Schlüsselpaar auf dem Gerät, das eines braucht, und fügen Sie dann den resultierenden öffentlichen Schlüssel als separaten Peer mit eigenen erlaubten Adressen auf dem Server hinzu. Der private Schlüssel sollte auf dem Gerät entstehen und dort bleiben; ein anderswo erzeugter und eingefügter Schlüssel ist über mindestens einen weiteren Ort gereist, und diese Reise ist nun Teil der Vertrauensgeschichte.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Die Serverseite braucht den öffentlichen Schlüssel plus eine Zuordnung erlaubter Adressen, die nicht mit dem ursprünglichen Gerät kollidiert. Ein Profil, das die alte Tunneladresse behält, aber einen neuen Schlüssel vorzeigt, erzeugt einen Peer, den der Server möglicherweise annimmt und dann falsch weiterleitet, was ein subtilerer Fehler ist als ein abgelehnter Handshake. Prüfen Sie die Adresszuordnung vor dem Verbinden, nicht nach dem ersten verwirrenden Paketverlust.

Setzen Sie das Duplikat außer Betrieb, ohne das Original zu brechen

Sobald die neue Identität funktioniert, entfernen Sie das kopierte Profil aus der Umgebung des ursprünglichen Geräts, statt den Servereintrag zu löschen, den das Original weiter nutzt. Falls die Kopie offengelegt worden sein könnte, widerrufen Sie sie stattdessen sofort und stellen Sie dann neu aus; Bequemlichkeit ist kein Grund, ein gemeinsames Geheimnis im Umlauf zu lassen.

Ein verwalteter Dienst, der wirklich mehrere Geräte pro Abonnement unterstützt, wird Ihnen das sagen und eigene Zugangsdaten über seine eigene Oberfläche ausstellen. Manuelles Duplizieren eines Profils ist nie dieses Modell, selbst wenn das Branding des Dienstes unbegrenzte Geräte suggeriert.

Testen Sie beide Geräte einzeln und zusammen

Prüfen Sie zuerst jedes Gerät für sich: Handshake, laufende Übertragungszähler und ein Ziel, das nur der Tunnel erreicht. Führen Sie dann beide gleichzeitig aus und beobachten Sie, wie der Server die Endpunkte sieht; zwei unterschiedliche Schlüssel sollten zwei stabile Peer-Einträge ergeben statt einen, der springt.

Bewahren Sie die neuen öffentlichen Schlüssel bei den Bereitstellungsnotizen auf und halten Sie fest, welches Gerät welchen hält. Ohne diese Liste wiederholt die nächste Person, die ein Profil kopiert, denselben Fehler, und die wechselnden Handshakes werden wieder dem Netzwerk angelastet.