Perfil de WireGuard copiado: por que fallan os dous dispositivos

O túnel funcionaba no portátil, así que o ficheiro de configuración pasou ao teléfono e á tableta, e agora os handshakes van e veñen nos tres. Non se escribiu nada mal nin se editou a configuración do servidor. Un perfil de WireGuard non é unha conta con contrasinal que varios dispositivos poidan usar; é un par de claves, e só a metade pública identifica un par. Copiar o ficheiro copia a identidade, así que o servidor agora intenta manter unha única relación de punto final para varios dispositivos que todos afirman ser o mesmo. Desde o lado do servidor non hai un segundo dispositivo que notar, só un par cuxa dirección non deixa de moverse.

Comece polo rexistro de handshakes de cada dispositivo

Abra o cliente en cada dispositivo e anote a hora do último handshake e o punto final actual antes de cambiar nada. Nunha configuración san os valores mantéñense estables mentres o dispositivo está en uso; cunha identidade duplicada as marcas de tempo altérnanse, e o punto final rexistrado no servidor pode describir un dispositivo distinto do que ten o perfil. Esa alternancia é a sinatura, e explica por que o síntoma parece conectividade inestable e non un erro de configuración. Os dispositivos non están rotos; interrómpense uns a outros.

Faga a lectura nos propios dispositivos, para que cada observación quede ligada a unha máquina concreta. Unha marca de tempo copiada dunha conversa de soporte perde esa ligazón e despois vale moi pouco.

Confirme se dous dispositivos comparten unha identidade

Compare as claves públicas, nunca as privadas. A clave pública derívase da privada, así que dous perfís coa mesma clave privada producen a mesma clave pública e son indistinguibles para o servidor. Se dous dispositivos informan da mesma clave pública, a cuestión queda resolvida e ningún axuste de keepalive axudará. Dúas claves distintas con handshakes inestables apuntan a outro lugar por completo, e por iso a comparación debe chegar antes de calquera cambio.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Estes comandos só imprimen material público e contadores, que é todo o que necesita unha conversa de soporte. Unha entrada de par no servidor cunha clave pública e un punto final que non deixa de moverse entre dúas redes é o resultado esperado da duplicación, porque un paquete autenticado dunha fonte nova actualiza a onde se envía o tráfico. Ese comportamento é o protocolo funcionando como se deseñou, e por iso se confunde tan facilmente cunha avaría de rede.

Aprovisione unha segunda identidade correctamente

Xere un par de claves novo no dispositivo que o necesita e despois engada a clave pública resultante ao servidor como un par separado coas súas propias direccións permitidas. A clave privada debe crearse no dispositivo e quedarse alí; unha clave xerada noutro sitio e pegada pasou por polo menos un lugar adicional, e esa viaxe agora forma parte da historia de confianza.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

O lado do servidor necesita a clave pública e unha asignación de dirección permitida que non choque co dispositivo orixinal. Un perfil que conserva a dirección de túnel antiga mentres presenta unha clave nova produce un par que o servidor pode aceptar e logo enrutar mal, o que é un fallo máis sutil que un handshake rexeitado. Comprobe a asignación de dirección antes de conectar, non despois da primeira perda de paquetes desconcertante.

Retire o duplicado sen romper o orixinal

Cando a nova identidade funcione, quite o perfil copiado dos arredores do dispositivo orixinal en lugar de borrar a entrada do servidor que o orixinal aínda usa. Se a copia puido quedar exposta, revóguea de inmediato e volva emitir; a comodidade non é razón para deixar un segredo compartido en circulación.

Un servizo xestionado que de verdade admita varios dispositivos por subscrición diráollo e emitirá credenciais separadas desde a súa propia interface. A duplicación manual dun perfil nunca é ese modelo, aínda que a marca do servizo suxira dispositivos ilimitados.

Probe ambos os dispositivos por separado e xuntos

Verifique cada dispositivo pola súa conta primeiro: handshake, contadores de transferencia que se moven e un destino ao que só chega o túnel. Logo execute ambos ao mesmo tempo e observe como ve o servidor os puntos finais; dúas claves distintas deberían producir dúas entradas de par estables en lugar dunha que salta.

Garde as claves públicas novas coas notas de despregamento e anote que dispositivo ten cal. Sen esa lista, a seguinte persoa que copie un perfil repetirá o mesmo fallo, e os handshakes alternos volverán culpar a rede.