WireGuard profil kopiatua: zergatik huts egiten duten bi gailuek

Tunela eramangarrian funtzionatzen zuen, beraz konfigurazio fitxategia telefonora eta tabletera pasa zen, eta orain esku-emanaldiak etorri eta joan egiten dira hiruetan. Ezer ez zen gaizki idatzi eta zerbitzariaren konfigurazioa ez zen editatu. WireGuard profila ez da hainbat gailuk erabil dezaketen pasahitzeko kontua; gako pare bat da, eta erdi publikoak bakarrik identifikatzen du parekidea. Fitxategia kopiatzeak identitatea kopiatzen du, beraz zerbitzaria orain endpoint erlazio bakarra mantentzen saiatzen ari da, denek berdinak direla dioten hainbat gailurentzat. Zerbitzariaren aldetik ez dago bigarren gailurik nabaritzeko, etengabe mugitzen den helbidea duen parekide bat baizik.

Hasi gailu bakoitzeko esku-emanaldi erregistroarekin

Ireki bezeroa gailu bakoitzean eta idatzi azken esku-emanaldiaren ordua eta uneko endpoint-a ezer aldatu aurretik. Konfigurazio sendoan balio horiek egonkor mantentzen dira gailua erabiltzen ari den bitartean; identitate bikoiztuan denbora-markak txandakatu egiten dira, eta zerbitzarian erregistratutako endpoint-a profila duen gailua ez den beste bat deskriba dezake. Txandakatze hori da sinadura, eta horrek azaltzen du zergatik sintomak konektibitate ezegonkorra dirudien eta ez konfigurazio errorea. Gailuak ez daude hondatuta; elkar eteten ari dira.

Irakurketa gailuetan bertan egin, behaketa bakoitza makina zehatz bati lotuta egon dadin. Laguntza txat batetik kopiatutako denbora-markak lotura hori galtzen du eta gero oso balio gutxi du.

Berretsi bi gailuk identitate bakarra partekatzen duten

Konparatu gako publikoak, inoiz ez pribatuak. Gako publikoa pribatutik eratortzen da, beraz gako pribatu bera duten bi profilek gako publiko bera sortzen dute eta bereizezinak dira zerbitzariarentzat. Bi gailuk gako publiko bera ematen badute, galdera konponduta dago eta keepalive doikuntza orok ez du lagunduko. Esku-emanaldi ezegonkorrak dituzten bi gako ezberdinek erabat beste leku batera seinalatzen dute, eta horregatik konparazioa edozein aldaketaren aurretik etorri behar da.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Komando hauek material publikoa eta kontagailuak soilik inprimatzen dituzte, eta hori da laguntza elkarrizketa batek behar duen guztia. Zerbitzarian gako publiko bat eta bi sareen artean etengabe mugitzen den endpoint bat dituen parekide sarrera da bikoizketaren espero den emaitza, iturri berri batetik datozen pakete autentifikatuek trafikoa norantz bidaltzen den eguneratzen baitute. Jokabide hori diseinatuak bezala funtzionatzen ari den protokoloa da, eta horregatik nahasten da hain erraz sareko matxura batekin.

Hornitu bigarren identitate bat behar bezala

Sortu gako pare berria behar duen gailuan, eta gero gehitu lortutako gako publikoa zerbitzarian parekide bereizi gisa, bere helbide baimenduekin. Gako pribatua gailuan sortu eta han bertan geratu behar da; beste leku batean sortu eta itsatsitako gako bat gutxienez beste leku batetik igaro da, eta bidai hori konfiantzaren istorioaren parte da orain.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Zerbitzariaren aldean gako publikoa eta jatorrizko gailuarekin talka egiten ez duen helbide baimenduaren esleipena behar dira. Tuneleko helbide zaharra mantendu eta gako berria aurkezten duen profilak zerbitzariak onar dezakeen eta gero gaizki bideratuko duen parekide bat sortzen du, esku-emanaldi ukatua baino hutsegite sotilagoa. Egiaztatu helbide esleipena konektatu aurretik, eta ez lehen pakete galera nahasgarriaren ondoren.

Erretiratu bikoizketa originala hautsi gabe

Identitate berriak funtziona dezanean, kendu profil kopiatua jatorrizko gailuaren ingurutik, originalak oraindik erabiltzen duen zerbitzari sarrera ezabatu beharrean. Kopia agerian egon badaiteke, ezeztatu berehala eta gero eman berriro; erosotasuna ez da sekretu partekatua zirkulazioan uzteko arrazoia.

Harpidetza bakoitzeko hainbat gailu benetan onartzen dituen zerbitzu kudeatuak hori esango dizu eta kredentzial bereiziak emango ditu bere interfazetik. Profil bat eskuz bikoiztea ez da inoiz eredu hori, zerbitzuaren markak gailu mugagabeak iradoki arren.

Probatu bi gailuak bereizita eta elkarrekin

Egiaztatu gailu bakoitza bere kabuz lehenik: esku-emanaldia, transferentzia kontagailuak mugitzen, eta tuneleak soilik irits dezakeen helmuga. Gero exekutatu biak aldi berean eta begiratu zerbitzariak endpoint-ak nola ikusten dituen; bi gako ezberdinek bi parekide sarrera egonkor sortu beharko lituzkete, jauzi egiten duen bat baino.

Gorde gako publiko berriak inplementazio oharrekin eta idatzi zein gailuk zein duen. Zerrenda hori gabe, profila kopiatzen duen hurrengo pertsonak hutsegite bera errepikatuko du, eta txandakatutako esku-emanaldiak sarea erruduntzat joko dute berriro.