Kopiearre WireGuard-profyl: wêrom beide apparaten mislearje

De tunnel wurke op de laptop, dus it konfiguraasjebestân gie nei de telefoan en de tablet, en no komme en geane de hântekens op alle trije. Der is neat ferkeard typt en de serverkonfiguraasje is net bewurke. In WireGuard-profyl is gjin akkount mei in wachtwurd dat ferskate apparaten brûke meie; it is in kaaipaar, en allinne de iepenbiere helte identifisearret in peer. It bestân kopiearje kopiearret de identiteit, dus de server besiket no ien einpuntrelaasje te hâlden foar ferskate apparaten dy’t allegear beweare deselde te wêzen. Fan de serverkant is der gjin twadde apparaat te fernimmen, allinne in peer waans adres hieltiten ferskoot.

Begjin mei de hântekeninglog op elk apparaat

Iepenje de klient op elk apparaat en skriuw de lêste hântekeningtiid en it hjoeddeiske einpunt op foardat jo eat feroarje. Yn in sûne opset bliuwe dy wearden stabyl wylst in apparaat brûkt wurdt; by in duplisearre identiteit wikselje de tiidstimpels inoar ôf, en it einpunt dat op de server fêstlein is kin in oar apparaat beskriuwe as dat wat it profyl hat. Dy ôfwikseling is de hantekening, en it ferklearret wêrom’t it symptoom as wifkjende ferbining liket en net as in konfiguraasjeflater. De apparaten binne net stikken; se ûnderbrekke inoar.

Doch it lêzen op de apparaten sels, sadat elke waarnimming oan in beskaat masine ferbûn is. In tiidstimpel dy’t út in stipepetear kopiearre is ferliest dy ferbining en is dêrnei min wurdich.

Befêstigje oft twa apparaten ien identiteit diele

Fergelykje de iepenbiere kaaien, nea de privee. De iepenbiere kaai is fan de priveekaai ôflaat, dus twa profylen mei deselde priveekaai produsearje deselde iepenbiere kaai en binne foar de server net te ûnderskieden. As twa apparaten deselde iepenbiere kaai melde, is de fraach beslist en gjin inkele keepalive-ynstelling sil helpe. Twa ferskillende kaaien mei wifkjende hântekens wize hiel earne oars hinne, dêrom moat de fergeliking foar elke feroaring komme.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Dizze opdrachten printsje allinne iepenbier materiaal en tellers, en dat is alles wat in stipepetear nedich hat. In peer-ynskriuwing op de server mei ien iepenbiere kaai en in einpunt dat hieltiten tusken twa netwurken ferskoot, is it ferwachte resultaat fan de duplikaasje, want in autentisearre pakket fan in nije boarne bywurket wêr’t ferkear hinne stjoerd wurdt. Dat gedrach is it protokol dat wurket sa’t ûntwurpen, en dêrom wurdt it sa maklik foar in netwurkflater oansjoen.

Jou in twadde identiteit goed

Generearje in nij kaaipaar op it apparaat dat ien nedich hat, en foegje dan de resultearjende iepenbiere kaai as aparte peer mei eigen tastiene adressen oan de server ta. De priveekaai moat op it apparaat makke wurde en dêr bliuwe; in kaai dy’t earne oars makke en plakt is, hat troch teminsten ien ekstra plak reizge, en dy reis is no part fan it fertrouwensferhaal.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

De serverkant hat de iepenbiere kaai nedich plus in tawizing fan tastiene adressen dy’t net botsinget mei it oarspronklike apparaat. In profyl dat it âlde tunneladres hâldt wylst it in nije kaai presintearret, produsearret in peer dy’t de server miskien akseptearret en dan ferkeard rûtelet, wat in subtilere flater is as in wegere hântekening. Kontrolearje de adrestawizing foardat jo ferbine, net nei it earste betiizjende pakketferlies.

Tsjinner it duplikaat ôf sûnder it orizjineel te brekken

As de nije identiteit wurket, ferwiderje dan it kopiearre profyl út de omkriten fan it oarspronklike apparaat ynstee fan de serverskriuwing te wiskjen dy’t it orizjineel noch brûkt. As de kopy bleatlein wêze kin, lûk it dan daliks yn en jou it opnij út; gemak is gjin reden om in dield geheim yn omrin te litten.

In beheard tsjinst dy’t echt ferskate apparaten per abonnemint stipet, sil it jo sizze en aparte tagongsbewizen fan syn eigen ynterface útjaan. It mei de hân duplisearjen fan ien profyl is nea dat model, sels as de merknamme fan de tsjinst ûnbeheine apparaten suggerearret.

Test beide apparaten apart en tegearre

Kontrolearje earst elk apparaat op himsels: hântekening, beweegjende oerdrachtstellers en in bestimming dy’t allinne de tunnel berikke kin. Rin dan beide tagelyk en sjoch hoe’t de server de einpunten sjocht; twa ferskillende kaaien moatte twa stabile peer-ynskriuwingen opleverje ynstee fan ien dy’t springt.

Bewarje de nije iepenbiere kaaien by de útrôljende notysjes en skriuw op hokker apparaat hokker hat. Sûnder dy list werhellet de folgjende persoan dy’t in profyl kopiearret deselde flater, en de ôfwikseljende hântekens sille wer op it netwurk skood wurde.