कॉपी किया गया WireGuard प्रोफ़ाइल: दोनों डिवाइस क्यों विफल होते हैं

लैपटॉप पर टनल काम कर रही थी, इसलिए कॉन्फ़िग फ़ाइल फ़ोन और टैबलेट पर चली गई, और अब तीनों पर हैंडशेक आते-जाते रहते हैं। कुछ भी गलत टाइप नहीं हुआ और सर्वर कॉन्फ़िगरेशन संपादित नहीं किया गया। WireGuard प्रोफ़ाइल पासवर्ड वाला खाता नहीं है जिसे कई डिवाइस इस्तेमाल कर सकें; यह एक कुंजी युग्म है, और केवल सार्वजनिक आधा हिस्सा ही किसी पीयर की पहचान करता है। फ़ाइल की कॉपी पहचान की कॉपी करती है, इसलिए सर्वर अब एक ही एंडपॉइंट संबंध कई डिवाइस के लिए बनाए रखने की कोशिश कर रहा है जो सभी स्वयं को एक ही होने का दावा करते हैं। सर्वर की ओर से ध्यान देने योग्य कोई दूसरा डिवाइस नहीं है, केवल एक पीयर जिसका पता लगातार बदलता रहता है।

हर डिवाइस पर हैंडशेक लॉग से शुरू करें

हर डिवाइस पर क्लाइंट खोलें और कुछ भी बदलने से पहले अंतिम हैंडशेक का समय और वर्तमान एंडपॉइंट दर्ज करें। स्वस्थ सेटअप में डिवाइस के उपयोग के दौरान ये मान स्थिर रहते हैं; नकल की गई पहचान में समय-चिह्न बारी-बारी आते हैं, और सर्वर पर दर्ज एंडपॉइंट उस डिवाइस से भिन्न डिवाइस का वर्णन कर सकता है जो प्रोफ़ाइल रखता है। यही बारी-बारी आना हस्ताक्षर है, और यह समझाता है कि लक्षण कॉन्फ़िगरेशन त्रुटि के बजाय अस्थिर कनेक्टिविटी क्यों दिखता है। डिवाइस खराब नहीं हैं; वे एक-दूसरे को बाधित कर रहे हैं।

पढ़ाई डिवाइसों पर ही करें, ताकि हर अवलोकन किसी विशेष मशीन से जुड़ा रहे। सहायता चैट से कॉपी किया गया समय-चिह्न यह जुड़ाव खो देता है और बाद में बहुत कम मूल्य का रहता है।

पुष्टि करें कि क्या दो डिवाइस एक ही पहचान साझा करते हैं

सार्वजनिक कुंजियों की तुलना करें, निजी की कभी नहीं। सार्वजनिक कुंजी निजी कुंजी से व्युत्पन्न होती है, इसलिए एक ही निजी कुंजी वाले दो प्रोफ़ाइल एक ही सार्वजनिक कुंजी बनाते हैं और सर्वर के लिए अविभेद्य हैं। यदि दो डिवाइस एक ही सार्वजनिक कुंजी बताते हैं, तो प्रश्न हल हो गया है और कोई भी keepalive ट्यूनिंग मदद नहीं करेगी। अस्थिर हैंडशेक वाली दो भिन्न कुंजियाँ पूरी तरह कहीं और इशारा करती हैं, इसलिए तुलना किसी भी बदलाव से पहले आनी चाहिए।

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

ये कमांड केवल सार्वजनिक सामग्री और काउंटर छापते हैं, और सहायता बातचीत को इतना ही चाहिए। एक सार्वजनिक कुंजी और दो नेटवर्क के बीच लगातार घूमते एंडपॉइंट वाली सर्वर पीयर प्रविष्टि नकल का अपेक्षित परिणाम है, क्योंकि नए स्रोत से प्रमाणित पैकेट यह अद्यतन करता है कि ट्रैफ़िक कहाँ भेजा जाता है। यह व्यवहार प्रोटोकॉल का डिज़ाइन के अनुसार काम करना है, इसलिए इसे नेटवर्क खराबी समझ लेना इतना आसान है।

दूसरी पहचान ठीक से बनाएँ

जिस डिवाइस को ज़रूरत है उस पर नया कुंजी युग्म बनाएँ, फिर परिणामी सार्वजनिक कुंजी को अपने अनुमत पतों के साथ अलग पीयर के रूप में सर्वर पर जोड़ें। निजी कुंजी डिवाइस पर ही बननी चाहिए और वहीं रहनी चाहिए; कहीं और बनी और चिपकाई गई कुंजी कम से कम एक अतिरिक्त स्थान से गुज़री है, और वह यात्रा अब भरोसे की कहानी का हिस्सा है।

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

सर्वर पक्ष को सार्वजनिक कुंजी और एक अनुमत-पता आवंटन चाहिए जो मूल डिवाइस से टकराए नहीं। पुराना टनल पता रखते हुए नई कुंजी प्रस्तुत करने वाला प्रोफ़ाइल ऐसा पीयर बनाता है जिसे सर्वर स्वीकार कर सकता है और फिर गलत रूप से रूट कर सकता है, जो अस्वीकृत हैंडशेक से अधिक सूक्ष्म विफलता है। कनेक्ट करने से पहले पता आवंटन जाँचें, पहले भ्रमित करने वाले पैकेट हानि के बाद नहीं।

मूल को तोड़े बिना नकल को सेवानिवृत्त करें

नई पहचान काम करने के बाद, मूल डिवाइस के पड़ोस से कॉपी किया गया प्रोफ़ाइल हटाएँ, न कि उस सर्वर प्रविष्टि को हटाएँ जिसका मूल अभी भी उपयोग करता है। यदि कॉपी उजागर हुई हो सकती है, तो उसके बजाय तुरंत निरस्त करें, फिर दोबारा जारी करें; सुविधा साझा रहस्य को प्रचलन में छोड़ने का कारण नहीं है।

जो प्रबंधित सेवा वास्तव में प्रति सदस्यता कई डिवाइस समर्थित करती है, वह आपको यह बताएगी और अपने ही इंटरफ़ेस से अलग क्रेडेंशियल जारी करेगी। एक प्रोफ़ाइल की मैन्युअल नकल कभी वह मॉडल नहीं है, भले ही सेवा की ब्रांडिंग असीमित डिवाइस का संकेत दे।

दोनों डिवाइस अलग-अलग और साथ में परखें

पहले हर डिवाइस को अकेले सत्यापित करें: हैंडशेक, चलते ट्रांसफ़र काउंटर, और ऐसा गंतव्य जहाँ केवल टनल पहुँच सकती है। फिर दोनों को एक साथ चलाएँ और देखें कि सर्वर एंडपॉइंट को कैसे देखता है; दो भिन्न कुंजियों को एक कूदती प्रविष्टि के बजाय दो स्थिर पीयर प्रविष्टियाँ बनानी चाहिए।

नई सार्वजनिक कुंजियों को परिनियोजन नोट्स के साथ रखें और लिखें कि कौन-सा डिवाइस कौन-सी रखता है। उस सूची के बिना, प्रोफ़ाइल कॉपी करने वाला अगला व्यक्ति वही विफलता दोहराएगा, और बारी-बारी आते हैंडशेक पर फिर से नेटवर्क को दोष दिया जाएगा।