Kopioitu WireGuard-profiili: miksi molemmat laitteet epäonnistuvat

Tunneli toimi kannettavassa, joten asetustiedosto siirrettiin puhelimeen ja tablettiin, ja nyt kättelyt tulevat ja menevät kaikissa kolmessa. Mitään ei kirjoitettu väärin eikä palvelimen asetuksia muokattu. WireGuard-profiili ei ole salasanallinen tili, jota useat laitteet voivat käyttää; se on avainpari, ja vain julkinen puolisko yksilöi vertaisen. Tiedoston kopiointi kopioi identiteetin, joten palvelin yrittää nyt pitää yhden päätepistesuhteen useille laitteille, jotka kaikki väittävät olevansa sama. Palvelimen puolelta ei ole toista laitetta havaittavaksi, vain vertainen, jonka osoite liikkuu jatkuvasti.

Aloita kättelylokista jokaisella laitteella

Avaa asiakasohjelma jokaisella laitteella ja kirjaa viimeisin kättelyaika ja nykyinen päätepiste ennen kuin muutat mitään. Terveessä asetuksessa nämä arvot pysyvät vakaina laitteen ollessa käytössä; kopioidussa identiteetissä aikaleimat vuorottelevat, ja palvelimelle kirjattu päätepiste voi kuvata eri laitetta kuin sitä, jolla profiili on. Juuri tuo vuorottelu on allekirjoitus, ja se selittää, miksi oire näyttää epävakaalta yhteydeltä eikä asetusvirheeltä. Laitteet eivät ole rikki; ne keskeyttävät toisiaan.

Tee lukeminen itse laitteilla, jotta jokainen havainto liittyy tiettyyn koneeseen. Tukikeskustelusta kopioitu aikaleima menettää tämän yhteyden ja on sen jälkeen hyvin vähän arvoinen.

Vahvista, jakavatko kaksi laitetta yhden identiteetin

Vertaa julkisia avaimia, älä koskaan yksityisiä. Julkinen avain johdetaan yksityisestä, joten kaksi saman yksityisavaimen sisältävää profiilia tuottavat saman julkisen avaimen ja ovat palvelimelle erottamattomia. Jos kaksi laitetta ilmoittaa saman julkisen avaimen, asia on ratkaistu eikä mikään keepalive-säätö auta. Kaksi eri avainta ja epävakaat kättelyt osoittavat aivan muualle, siksi vertailun on tultava ennen mitään muutosta.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Nämä komennot tulostavat vain julkista aineistoa ja laskureita, ja se on kaikki, mitä tukikeskustelu tarvitsee. Palvelimen vertainen merkintä, jossa on yksi julkinen avain ja päätepiste, joka liikkuu jatkuvasti kahden verkon välillä, on kopioinnin odotettu tulos, koska todennettu paketti uudesta lähteestä päivittää, minne liikenne lähetetään. Tämä käytös on protokolla, joka toimii suunnitellusti, ja siksi se sekoitetaan niin helposti verkkohäiriöön.

Hanki toinen identiteetti asianmukaisesti

Luo uusi avainpari laitteella, joka sitä tarvitsee, ja lisää sitten saatu julkinen avain palvelimelle erillisenä vertaisena omine sallittuine osoitteineen. Yksityisavain pitäisi luoda laitteella ja jäädä sinne; muualla luotu ja liitetty avain on kulkenut ainakin yhden ylimääräisen paikan kautta, ja se matka on nyt osa luottamustarinaa.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Palvelimen puoli tarvitsee julkisen avaimen ja sallitun osoitteen määrityksen, joka ei törmää alkuperäisen laitteen kanssa. Profiili, joka pitää vanhan tunneliosoitteen mutta esittää uuden avaimen, tuottaa vertaisen, jonka palvelin voi hyväksyä ja sitten reitittää väärin, mikä on hienovaraisempi vika kuin hylätty kättely. Tarkista osoitemääritys ennen yhteyden muodostamista, ei vasta ensimmäisen hämmentävän pakettihäviön jälkeen.

Poista kopio rikkomatta alkuperäistä

Kun uusi identiteetti toimii, poista kopioitu profiili alkuperäisen laitteen lähiympäristöstä sen sijaan, että poistaisit palvelinmerkinnän, jota alkuperäinen yhä käyttää. Jos kopio on saattanut paljastua, peruuta se sen sijaan heti ja myönnä uusi; mukavuus ei ole syy jättää jaettua salaisuutta kiertoon.

Hallinnoitu palvelu, joka todella tukee useita laitteita tilausta kohden, kertoo sen sinulle ja myöntää erilliset tunnistetiedot omasta käyttöliittymästään. Yhden profiilin manuaalinen kopiointi ei ole koskaan tämä malli, vaikka palvelun brändäys vihjaisi rajattomista laitteista.

Testaa molemmat laitteet erikseen ja yhdessä

Vahvista ensin kukin laite erikseen: kättely, liikkuvat siirtolaskurit ja kohde, johon vain tunneli pääsee. Aja sitten molemmat samanaikaisesti ja seuraa, miten palvelin näkee päätepisteet; kahden eri avaimen pitäisi tuottaa kaksi vakaata vertainen merkintää eikä yhtä hyppivää.

Säilytä uudet julkiset avaimet käyttöönoton muistiinpanojen kanssa ja kirjaa, mikä laite pitää mitäkin. Ilman sitä luetteloa seuraava profiilin kopioija toistaa saman vian, ja vuorottelevat kättelyt syytetään jälleen verkkoa.