Kopeeritud WireGuard-profiil: miks mõlemad seadmed ei tööta

Tunnel töötas sülearvutis, seega läks konfiguratsioonifail telefoni ja tahvlisse, ja nüüd käivad kätlemised kõigil kolmel edasi-tagasi. Midagi ei trükitud valesti ja serveri konfiguratsiooni ei muudetud. WireGuard-profiil ei ole parooliga konto, mida võivad kasutada mitmed seadmed; see on võtmepaar ja ainult avalik pool identifitseerib partneri. Faili kopeerimine kopeerib identiteedi, seega püüab server nüüd hoida ühte lõpp-punkti suhet mitme seadme jaoks, mis kõik väidavad end olevat sama. Serveri poolt ei ole märgata teist seadet, on ainult partner, mille aadress pidevalt liigub.

Alustage kätlemislogist igas seadmes

Avage klient igas seadmes ja kirjutage üles viimase kätlemise aeg ja praegune lõpp-punkt, enne kui midagi muudate. Terves seadistuses püsivad need väärtused seadme kasutamise ajal stabiilsena; dubleeritud identiteedi korral vahelduvad ajatemplid ja serverisse salvestatud lõpp-punkt võib kirjeldada teist seadet kui see, millel profiil on. See vaheldumine ongi allkiri ja see selgitab, miks sümptom näeb välja nagu kõikuv ühendus, mitte konfiguratsiooniviga. Seadmed ei ole katki; nad katkestavad üksteist.

Lugege seadmete endi pealt, et iga tähelepanek oleks seotud konkreetse masinaga. Tugivestlusest kopeeritud ajatempel kaotab selle sideme ja on hiljem väga vähe väärt.

Kinnitage, kas kaks seadet jagavad üht identiteeti

Võrrelge avalikke võtmeid, mitte kunagi privaatseid. Avalik võti tuletatakse privaatsest, seega kaks sama privaatvõtmega profiili annavad sama avaliku võtme ja on serveri jaoks eristamatud. Kui kaks seadet teatavad sama avaliku võtme, on küsimus otsustatud ja ükski keepalive häälestus ei aita. Kaks erinevat võtit kõikuvate kätlemistega osutavad hoopis mujale, seepärast peab võrdlus tulema enne igasugust muudatust.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Need käsud trükivad ainult avalikku materjali ja loendureid, mis on kõik, mida toevestlus vajab. Serveri partnerikirje ühe avaliku võtmega ja lõpp-punktiga, mis liigub pidevalt kahe võrgu vahel, on dubleerimise oodatav tulemus, sest autenditud pakett uuest allikast uuendab, kuhu liiklus saadetakse. See käitumine on protokoll, mis töötab nii nagu projekteeritud, ja seepärast aetakse seda nii kergesti segi võrguveaga.

Hankige teine identiteet korralikult

Looge uus võtmepaar seadmes, mis seda vajab, ja lisage saadud avalik võti serverisse eraldi partnerina oma lubatud aadressidega. Privaatvõti tuleks luua seadmes ja jääda sinna; mujal loodud ja kleepitud võti on läbinud vähemalt ühe lisakoha ja see teekond on nüüd osa usaldusloost.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Serveripool vajab avalikku võtit ja lubatud aadressi määramist, mis ei kattu algse seadmega. Profiil, mis hoiab vana tunneli aadressi, kuid esitab uue võtme, tekitab partneri, mille server võib vastu võtta ja seejärel valesti marsruutida, mis on peenem tõrge kui tagasi lükatud kätlemine. Kontrollige aadressi määramist enne ühendamist, mitte pärast esimest segadust tekitavat paketikaotust.

Pensionige duplikaat ilma originaali rikkumata

Kui uus identiteet töötab, eemaldage kopeeritud profiil algse seadme naabrusest, selle asemel et kustutada serverikirje, mida originaal ikka kasutab. Kui koopia võis olla avatud, tühistage see hoopis kohe ja väljastage uus; mugavus ei ole põhjus jätta jagatud saladust ringlema.

Hallatav teenus, mis tõesti toetab mitut seadet tellimuse kohta, ütleb teile seda ja väljastab eraldi volitused oma liidesest. Ühe profiili käsitsi dubleerimine ei ole kunagi see mudel, isegi kui teenuse bränding vihjab piiramatule arvule seadmetele.

Testige mõlemat seadet eraldi ja koos

Kontrollige esmalt iga seadet eraldi: kätlemine, liikuvad ülekandeloendurid ja sihtkoht, kuhu pääseb ainult tunnel. Seejärel käivitage mõlemad korraga ja jälgige, kuidas server lõpp-punkte näeb; kaks erinevat võtit peaksid andma kaks stabiilset partnerikirjet, mitte ühe, mis hüppab.

Hoidke uued avalikud võtmed juurutamismärkmete juures ja kirjutage üles, milline seade millist hoiab. Ilma selle nimekirjata kordab järgmine profiili kopeerija sama tõrget ja vahelduvad kätlemised aetakse jälle võrgu süüks.