Kopirani WireGuard profil: zašto oba uređaja ne rade

Tunel je radio na prijenosniku, pa je konfiguracijska datoteka prenesena na telefon i tablet, a sada rukovanja dolaze i odlaze na sva tri uređaja. Ništa nije pogrešno upisano i konfiguracija poslužitelja nije mijenjana. WireGuard profil nije račun s lozinkom koji može koristiti nekoliko uređaja; to je par ključeva, a samo javna polovica identificira partnera. Kopiranje datoteke kopira identitet, pa poslužitelj sada pokušava održati jedan odnos krajnje točke za nekoliko uređaja koji svi tvrde da su isti. S poslužiteljske strane nema drugog uređaja koji bi se primijetio, samo partner čija se adresa stalno mijenja.

Počnite sa zapisnikom rukovanja na svakom uređaju

Otvorite klijent na svakom uređaju i zabilježite vrijeme posljednjeg rukovanja i trenutnu krajnju točku prije nego što bilo što promijenite. U ispravnoj postavci te vrijednosti ostaju stabilne dok je uređaj u upotrebi; kod dupliciranog identiteta vremenske se oznake izmjenjuju, a krajnja točka zabilježena na poslužitelju može opisivati drugi uređaj od onoga koji drži profil. Ta je izmjena potpis i objašnjava zašto simptom izgleda kao nestabilna veza, a ne kao pogreška u konfiguraciji. Uređaji nisu pokvareni; prekidaju jedan drugoga.

Čitajte na samim uređajima, tako da svako zapažanje bude vezano uz određeni stroj. Vremenska oznaka kopirana iz razgovora s podrškom gubi tu vezu i nakon toga vrijedi vrlo malo.

Potvrdite dijele li dva uređaja jedan identitet

Uspoređujte javne ključeve, nikada privatne. Javni se ključ izvodi iz privatnoga, pa dva profila s istim privatnim ključem daju isti javni ključ i za poslužitelj su nerazlučivi. Ako dva uređaja prijavljuju isti javni ključ, pitanje je riješeno i nikakvo podešavanje keepalive neće pomoći. Dva različita ključa s nestabilnim rukovanjima upućuju posve drugamo, zato usporedba mora doći prije bilo kakve promjene.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Ove naredbe ispisuju samo javni materijal i brojače, a to je sve što razgovor s podrškom treba. Unos partnera na poslužitelju s jednim javnim ključem i krajnjom točkom koja se stalno kreće između dviju mreža očekivani je rezultat dupliciranja, jer autentificirani paket s novog izvora ažurira kamo se promet šalje. Takvo je ponašanje protokol koji radi kako je projektiran, zato se tako lako zamijeni za mrežni kvar.

Ispravno osigurajte drugi identitet

Generirajte novi par ključeva na uređaju kojem je potreban, zatim dodajte dobiveni javni ključ na poslužitelj kao zasebnog partnera s vlastitim dopuštenim adresama. Privatni ključ treba stvoriti na uređaju i ondje ostati; ključ generiran drugdje i zalijepljen prošao je kroz barem jedno dodatno mjesto, a to je putovanje sada dio priče o povjerenju.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Poslužiteljska strana treba javni ključ plus dodjelu dopuštene adrese koja se ne sudara s originalnim uređajem. Profil koji zadržava staru adresu tunela, a predstavlja novi ključ, stvara partnera kojeg poslužitelj može prihvatiti i zatim pogrešno usmjeriti, što je suptilniji kvar od odbijenog rukovanja. Provjerite dodjelu adrese prije povezivanja, a ne nakon prvog zbunjujućeg gubitka paketa.

Umirovite duplikat bez lomljenja originala

Kad novi identitet proradi, uklonite kopirani profil iz susjedstva originalnog uređaja umjesto brisanja poslužiteljskog unosa koji original još rabi. Ako je kopija možda bila izložena, umjesto toga je odmah opozovite, pa izdajte novu; udobnost nije razlog da zajedničku tajnu ostavite u optjecaju.

Upravljana usluga koja istinski podržava nekoliko uređaja po pretplati to će vam reći i izdati zasebne vjerodajnice iz vlastitog sučelja. Ručno dupliciranje jednog profila nikada nije taj model, čak i kada brendiranje usluge sugerira neograničen broj uređaja.

Testirajte oba uređaja odvojeno i zajedno

Prvo provjerite svaki uređaj zasebno: rukovanje, brojači prijenosa koji se kreću i odredište do kojeg samo tunel može doći. Zatim pokrenite oba istodobno i gledajte kako poslužitelj vidi krajnje točke; dva različita ključa trebaju dati dva stabilna unosa partnera, a ne jedan koji skače.

Čuvajte nove javne ključeve uz bilješke o postavljanju i zabilježite koji uređaj drži koji. Bez tog popisa sljedeća osoba koja kopira profil ponovit će istu pogrešku, a izmjenična rukovanja opet će se pripisati mreži.