Másolt WireGuard-profil: miért hibázik mindkét eszköz

Az alagút működött a laptopon, ezért a konfigurációs fájl átkerült a telefonra és a tabletre, és most mindhárom eszközön jönnek-mennek a kézfogások. Semmit nem írtak el, és a kiszolgáló konfigurációját sem szerkesztették. A WireGuard-profil nem jelszavas fiók, amelyet több eszköz használhat; kulcspár, és csak a nyilvános fele azonosít egy partnert. A fájl másolása az identitást másolja, ezért a kiszolgáló most egyetlen végpontkapcsolatot próbál fenntartani több eszköz számára, amelyek mind azt állítják, hogy ugyanazok. A kiszolgáló oldaláról nincs második eszköz, amit észre lehetne venni, csak egy partner, amelynek a címe folyamatosan mozog.

Kezdje a kézfogásnaplóval minden eszközön

Nyissa meg a klienst minden eszközön, és jegyezze fel az utolsó kézfogás idejét és az aktuális végpontot, mielőtt bármit módosítana. Egészséges beállításban ezek az értékek stabilak maradnak, amíg az eszközt használják; duplikált identitás esetén az időbélyegek váltakoznak, és a kiszolgálón rögzített végpont más eszközt írhat le, mint amelyik a profilt tartja. Ez a váltakozás az aláírás, és megmagyarázza, miért tűnik a tünet ingatag kapcsolatnak és nem konfigurációs hibának. Az eszközök nem hibásak; megszakítják egymást.

Az olvasást magukon az eszközökön végezze, hogy minden megfigyelés egy adott géphez kapcsolódjon. Egy támogatási csevegésből másolt időbélyeg elveszíti ezt a kapcsolatot, és utána nagyon keveset ér.

Erősítse meg, hogy két eszköz egy identitást oszt-e meg

A nyilvános kulcsokat hasonlítsa össze, soha a privátokat. A nyilvános kulcs a privátból származik, ezért két azonos privát kulcsot tartalmazó profil ugyanazt a nyilvános kulcsot adja, és a kiszolgáló számára megkülönböztethetetlen. Ha két eszköz ugyanazt a nyilvános kulcsot jelenti, a kérdés eldőlt, és semmilyen keepalive-hangolás nem segít. Két különböző kulcs ingatag kézfogásokkal egészen másfelé mutat, ezért az összehasonlításnak minden változtatás előtt kell jönnie.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Ezek a parancsok csak nyilvános anyagot és számlálókat írnak ki, és ennyi kell egy támogatási beszélgetéshez. Egy partnerbejegyzés a kiszolgálón egyetlen nyilvános kulccsal és egy végponttal, amely folyamatosan mozog két hálózat között, a duplikálás várható eredménye, mert egy hitelesített csomag új forrásból frissíti, hová küldik a forgalmat. Ez a viselkedés a protokoll tervezés szerinti működése, ezért olyan könnyű hálózati hibának nézni.

Létesítsen megfelelően egy második identitást

Hozzon létre új kulcspárt azon az eszközön, amelynek szüksége van rá, majd adja hozzá a kapott nyilvános kulcsot a kiszolgálóhoz külön partnerként, saját engedélyezett címeivel. A privát kulcsot az eszközön kell létrehozni, és ott kell maradnia; a máshol generált és beillesztett kulcs legalább egy plusz helyen járt, és ez az út most a bizalmi történet része.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

A kiszolgáló oldalának szüksége van a nyilvános kulcsra és egy engedélyezettcím-hozzárendelésre, amely nem ütközik az eredeti eszközzel. Az a profil, amely megtartja a régi alagútcímet, de új kulcsot mutat, olyan partnert hoz létre, amelyet a kiszolgáló esetleg elfogad, majd helytelenül irányít, ami finomabb hiba az elutasított kézfogásnál. A címhozzárendelést kapcsolódás előtt ellenőrizze, ne az első zavaró csomagvesztés után.

Vonja ki a duplikátumot az eredeti törése nélkül

Amint az új identitás működik, távolítsa el a másolt profilt az eredeti eszköz környezetéből, ahelyett hogy törölné a kiszolgálóbejegyzést, amelyet az eredeti még használ. Ha a másolat esetleg nyilvánosságra kerülhetett, inkább azonnal vonja vissza, majd adjon ki újat; a kényelem nem ok arra, hogy egy megosztott titkot forgalomban hagyjon.

Egy felügyelt szolgáltatás, amely valóban támogat több eszközt előfizetésenként, megmondja ezt, és saját felületén külön hitelesítő adatokat ad ki. Egy profil kézi másolása soha nem az a modell, még akkor sem, ha a szolgáltatás márkája korlátlan eszközöket sugall.

Tesztelje mindkét eszközt külön és együtt

Először mindegyik eszközt külön ellenőrizze: kézfogás, mozgó átvitelszámlálók és olyan cél, amelyet csak az alagút ér el. Aztán futtassa mindkettőt egyszerre, és figyelje, hogyan látja a kiszolgáló a végpontokat; két különböző kulcsnak két stabil partnerbejegyzést kell adnia, nem egy ugrálót.

Tartsa az új nyilvános kulcsokat a telepítési jegyzetekkel, és jegyezze fel, melyik eszköz melyiket tartja. E lista nélkül a következő ember, aki profilt másol, ugyanazt a hibát ismétli meg, és a váltakozó kézfogásokat ismét a hálózat fogja kapni.