Kopiita WireGuard-profilo: kial ambaŭ aparatoj malsukcesas

La tunelo funkciis en la tekkomputilo, do la agorda dosiero iris al la telefono kaj la tabuleto, kaj nun la manpremoj venas kaj foriras ĉe ĉiuj tri. Nenio estis mistajpita kaj la servila agordo ne estis redaktita. WireGuard-profilo ne estas konto kun pasvorto, kiun pluraj aparatoj rajtas uzi; ĝi estas ŝlosilparo, kaj nur la publika duono identigas kunulon. Kopii la dosieron kopias la identecon, do la servilo nun provas teni unu finan-punktan rilaton por pluraj aparatoj, kiuj ĉiuj asertas esti la sama. De la flanko de la servilo ne estas dua aparato rimarkebla, nur kunulo kies adreso senĉese moviĝas.

Komencu per la protokolo de manpremoj sur ĉiu aparato

Malfermu la klienton sur ĉiu aparato kaj notu la lastan manpreman tempon kaj la nunan finan punkton antaŭ ol ŝanĝi ion ajn. En sana agordo tiuj valoroj restas stabilaj dum aparato estas uzata; ĉe duobligita identeco la tempomarkoj alternas, kaj la fina punkto registrita en la servilo povas priskribi alian aparaton ol tiun, kiu tenas la profilon. Tiu alternado estas la subskribo, kaj ĝi klarigas, kial la simptomo aspektas kiel malstabila konektebleco, ne kiel agorda eraro. La aparatoj ne estas difektitaj; ili interrompas unu la alian.

Faru la legadon sur la aparatoj mem, por ke ĉiu observado estu ligita al konkreta maŝino. Tempomarko kopiita el subtena babilejo perdas tiun ligon kaj poste valoras tre malmulte.

Konfirmu, ĉu du aparatoj dividas unu identecon

Komparu la publikajn ŝlosilojn, neniam la privatajn. La publika ŝlosilo estas derivita de la privata, do du profiloj kun la sama privata ŝlosilo produktas la saman publikan ŝlosilon kaj estas nedistingeblaj por la servilo. Se du aparatoj raportas la saman publikan ŝlosilon, la demando estas solvita kaj neniu ĝustigo de keepalive helpos. Du malsamaj ŝlosiloj kun malstabilaj manpremoj montras tute aliloken, tial la komparo devas veni antaŭ ajna ŝanĝo.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Ĉi tiuj komandoj presas nur publikan materialon kaj nombrilojn, kaj tio estas ĉio, kion subtena interparolo bezonas. Servila kunula enskribo kun unu publika ŝlosilo kaj fina punkto, kiu senĉese moviĝas inter du retoj, estas la atendata rezulto de la duobligo, ĉar aŭtentigita pako el nova fonto ĝisdatigas kien la trafiko estas sendata. Tiu konduto estas la protokolo laboranta laŭ la dezajno, tial ĝi tiel facile estas konfuzata kun reta paneo.

Provizu duan identecon ĝuste

Generu novan ŝlosilparon sur la aparato, kiu bezonas ĝin, poste aldonu la rezultan publikan ŝlosilon al la servilo kiel apartan kunulon kun propraj permesitaj adresoj. La privata ŝlosilo devus esti kreita sur la aparato kaj resti tie; ŝlosilo generita aliloke kaj enmetita trapasis almenaŭ unu plian lokon, kaj tiu vojaĝo nun estas parto de la fido-rakonto.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

La servila flanko bezonas la publikan ŝlosilon plus atribuon de permesita adreso, kiu ne kolizias kun la origina aparato. Profilo, kiu konservas la malnovan tunelan adreson dum prezentas novan ŝlosilon, produktas kunulon, kiun la servilo eble akceptos kaj poste malĝuste enkursigos, kio estas pli subtila paneo ol rifuzita manpremo. Kontrolu la adresan atribuon antaŭ konekti, ne post la unua konfuza paketperdo.

Retiru la duplikaton sen rompi la originalon

Post kiam la nova identeco funkcias, forigu la kopiitan profilon el la najbareco de la origina aparato anstataŭ forigi la servilan enskribon, kiun la originalo ankoraŭ uzas. Se la kopio eble estis elmetita, anstataŭe tuj revoku ĝin, poste eldonu denove; komforto ne estas kialo lasi komunan sekreton en cirkulado.

Administrata servo, kiu vere subtenas plurajn aparatojn po abono, diros tion al vi kaj eldonos apartajn akreditaĵojn el sia propra interfaco. Mana duobligo de unu profilo neniam estas tiu modelo, eĉ kiam la marko de la servo sugestas senlimajn aparatojn.

Testu ambaŭ aparatojn aparte kaj kune

Unue kontrolu ĉiun aparaton sola: manpremo, moviĝantaj transdonaj nombriloj kaj celo atingebla nur per la tunelo. Poste funkciigu ambaŭ samtempe kaj observu, kiel la servilo vidas la finajn punktojn; du malsamaj ŝlosiloj devus produkti du stabilajn kunulajn enskribojn anstataŭ unu, kiu saltas.

Konservu la novajn publikajn ŝlosilojn kun la deplojaj notoj kaj registru, kiun aparaton kiun tenas. Sen tiu listo, la sekva persono, kiu kopias profilon, ripetas la saman paneon, kaj la alternaj manpremoj denove estos kulpigitaj al la reto.