Պատճենված WireGuard պրոֆիլ. ինչու են երկու սարքերն էլ ձախողվում

Թունելը աշխատում էր նոթբուքում, ուստի կոնֆիգուրացիայի ֆայլը տեղափոխվեց հեռախոս և պլանշետ, և այժմ ձեռքսեղմումները գալիս ու գնում են բոլոր երեքում։ Ոչինչ սխալ չի մուտքագրվել, և սերվերի կոնֆիգուրացիան չի խմբագրվել։ WireGuard պրոֆիլը գաղտնաբառով հաշիվ չէ, որը կարող են օգտագործել մի քանի սարքեր. դա բանալիների զույգ է, և միայն հրապարակային կեսն է նույնականացնում գործընկերոջը։ Ֆայլը պատճենելը պատճենում է ինքնությունը, ուստի սերվերն այժմ փորձում է պահել մեկ վերջնակետային հարաբերություն մի քանի սարքերի համար, որոնք բոլորը պնդում են, թե նույնն են։ Սերվերի կողմից նկատելու երկրորդ սարք չկա, միայն գործընկեր, որի հասցեն անընդհատ տեղափոխվում է։

Սկսեք ձեռքսեղմման մատյանից յուրաքանչյուր սարքում

Բացեք հաճախորդը յուրաքանչյուր սարքում և գրանցեք վերջին ձեռքսեղմման ժամանակը և ընթացիկ վերջնակետը նախքան որևէ բան փոխելը։ Առողջ կարգավորումում այդ արժեքները կայուն են մնում, քանի դեռ սարքը օգտագործվում է. կրկնօրինակված ինքնության դեպքում ժամանակի նշիչները հերթով փոխվում են, և սերվերում գրանցված վերջնակետը կարող է նկարագրել այլ սարք, քան այն, որը պահում է պրոֆիլը։ Այդ հերթափոխն է ստորագրությունը, և այն բացատրում է, թե ինչու ախտանիշը նման է անկայուն միացման, այլ ոչ կարգավորման սխալի։ Սարքերը կոտրված չեն. նրանք ընդհատում են միմյանց։

Ընթերցումը կատարեք հենց սարքերի վրա, որպեսզի յուրաքանչյուր դիտարկում կապված լինի կոնկրետ մեքենայի հետ։ Աջակցության զրույցից պատճենված ժամանակի նշիչը կորցնում է այդ կապը և հետո շատ քիչ արժեք ունի։

Հաստատեք՝ արդյոք երկու սարքեր կիսում են մեկ ինքնություն

Համեմատեք հրապարակային բանալիները, երբեք՝ գաղտնի։ Հրապարակային բանալին ածանցվում է գաղտնիից, ուստի նույն գաղտնի բանալին պարունակող երկու պրոֆիլներ տալիս են նույն հրապարակային բանալին և սերվերի համար անտարբերելի են։ Եթե երկու սարքեր հաղորդում են նույն հրապարակային բանալին, հարցը լուծված է, և keepalive-ի ոչ մի կարգավորում չի օգնի։ Անկայուն ձեռքսեղմումներով երկու տարբեր բանալիներ մատնանշում են բոլորովին այլ տեղ, դրա համար էլ համեմատությունը պետք է գա ցանկացած փոփոխությունից առաջ։

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Այս հրամանները տպում են միայն հրապարակային նյութ և հաշվիչներ, և դա այն ամենն է, ինչ պետք է աջակցության զրույցին։ Սերվերում մեկ հրապարակային բանալիով և երկու ցանցերի միջև անընդհատ շարժվող վերջնակետով գործընկերոջ գրառումը կրկնօրինակման սպասված արդյունքն է, քանի որ նոր աղբյուրից նույնականացված փաթեթը թարմացնում է, թե ուր է ուղարկվում երթևեկությունը։ Այդ վարքը պրոտոկոլի նախագծով աշխատելն է, և դրա համար էլ այն այդքան հեշտ է շփոթել ցանցային խափանման հետ։

Ճիշտ տրամադրեք երկրորդ ինքնություն

Ստեղծեք նոր բանալիների զույգ այն սարքում, որին այն պետք է, ապա ավելացրեք ստացված հրապարակային բանալին սերվերում որպես առանձին գործընկեր՝ իր թույլատրված հասցեներով։ Գաղտնի բանալին պետք է ստեղծվի սարքում և մնա այնտեղ. այլ տեղ ստեղծված և տեղադրված բանալին անցել է առնվազն մեկ լրացուցիչ վայրով, և այդ ճանապարհն այժմ վստահության պատմության մասն է։

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Սերվերի կողմին պետք է հրապարակային բանալին և թույլատրված հասցեի նշանակում, որը չի բախվում բնօրինակ սարքի հետ։ Հին թունելի հասցեն պահող, բայց նոր բանալի ներկայացնող պրոֆիլը ստեղծում է գործընկեր, որին սերվերը կարող է ընդունել և հետո սխալ երթուղղել, ինչը ավելի նուրբ խափանում է, քան մերժված ձեռքսեղմումը։ Ստուգեք հասցեի նշանակումը նախքան միանալը, ոչ թե առաջին շփոթեցնող փաթեթների կորստից հետո։

Հեռացրեք կրկնօրինակը՝ չկոտրելով բնօրինակը

Երբ նոր ինքնությունը աշխատի, հեռացրեք պատճենված պրոֆիլը բնօրինակ սարքի շրջապատից՝ փոխարենը չջնջելով սերվերի այն գրառումը, որը բնօրինակը դեռ օգտագործում է։ Եթե պատճենը կարող էր բացահայտվել, փոխարենը անմիջապես չեղարկեք այն, ապա նորից թողարկեք. հարմարավետությունը պատճառ չէ ընդհանուր գաղտնիքը շրջանառության մեջ թողնելու։

Կառավարվող ծառայությունը, որն իսկապես աջակցում է մի քանի սարք մեկ բաժանորդագրության համար, կասի դա ձեզ և կթողարկի առանձին հավատարմագրեր իր սեփական ինտերֆեյսից։ Մեկ պրոֆիլի ձեռքով կրկնօրինակումը երբեք այդ մոդելը չէ, նույնիսկ երբ ծառայության ապրանքանիշը հուշում է անսահմանափակ սարքեր։

Փորձարկեք երկու սարքերն առանձին և միասին

Նախ ստուգեք յուրաքանչյուր սարքը առանձին. ձեռքսեղմում, շարժվող փոխանցման հաշվիչներ և նպատակակետ, ուր հասնում է միայն թունելը։ Ապա գործարկեք երկուսը միաժամանակ և դիտեք, թե ինչպես է սերվերը տեսնում վերջնակետերը. երկու տարբեր բանալիներ պետք է տան երկու կայուն գործընկերոջ գրառում, այլ ոչ թե մեկը, որը ցատկում է։

Պահեք նոր հրապարակային բանալիները տեղաբաշխման նշումների հետ և գրանցեք, թե որ սարքը որն է պահում։ Առանց այդ ցանկի՝ պրոֆիլ պատճենող հաջորդ մարդը կկրկնի նույն խափանումը, և հերթափոխ ձեռքսեղմումները նորից կմեղադրվեն ցանցը։