Profil WireGuard yang disalin: mengapa kedua perangkat gagal

Tunnel berfungsi di laptop, jadi file konfigurasi disalin ke ponsel dan tablet, dan sekarang handshake datang dan pergi di ketiganya. Tidak ada yang salah ketik dan konfigurasi server tidak diedit. Profil WireGuard bukan akun dengan kata sandi yang boleh dipakai beberapa perangkat; itu pasangan kunci, dan hanya separuh publiknya yang mengidentifikasi peer. Menyalin file berarti menyalin identitas, jadi server sekarang berusaha mempertahankan satu hubungan endpoint untuk beberapa perangkat yang semuanya mengaku sebagai perangkat yang sama. Dari sisi server tidak ada perangkat kedua yang bisa diperhatikan, hanya peer yang alamatnya terus berpindah.

Mulai dari log handshake di setiap perangkat

Buka klien di setiap perangkat dan catat waktu handshake terakhir serta endpoint saat ini sebelum mengubah apa pun. Pada penyiapan yang sehat nilai-nilai itu tetap stabil selama perangkat digunakan; pada identitas ganda stempel waktu bergantian, dan endpoint yang tercatat di server bisa menggambarkan perangkat yang berbeda dari yang memegang profil. Pergantian itulah tanda tangannya, dan itu menjelaskan mengapa gejalanya tampak seperti konektivitas yang tidak stabil, bukan kesalahan konfigurasi. Perangkatnya tidak rusak; keduanya saling mengganggu.

Lakukan pembacaan pada perangkatnya masing-masing, agar setiap pengamatan terikat pada mesin tertentu. Stempel waktu yang disalin dari obrolan dukungan kehilangan ikatan itu dan setelahnya bernilai sangat sedikit.

Pastikan apakah dua perangkat berbagi satu identitas

Bandingkan kunci publik, jangan pernah yang privat. Kunci publik diturunkan dari kunci privat, jadi dua profil yang berisi kunci privat sama menghasilkan kunci publik yang sama dan tidak dapat dibedakan oleh server. Jika dua perangkat melaporkan kunci publik yang sama, persoalannya selesai dan tidak ada penyetelan keepalive yang akan menolong. Dua kunci berbeda dengan handshake yang tidak stabil menunjuk ke tempat yang sama sekali lain, karena itu perbandingan harus dilakukan sebelum perubahan apa pun.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Perintah ini hanya mencetak materi publik dan penghitung, dan itulah semua yang dibutuhkan percakapan dukungan. Entri peer di server dengan satu kunci publik dan endpoint yang terus berpindah antara dua jaringan adalah hasil yang diharapkan dari duplikasi, karena paket terautentikasi dari sumber baru memperbarui ke mana lalu lintas dikirim. Perilaku itu adalah protokol yang bekerja sebagaimana dirancang, karena itu begitu mudah disalahartikan sebagai gangguan jaringan.

Sediakan identitas kedua dengan benar

Buat pasangan kunci baru di perangkat yang membutuhkannya, lalu tambahkan kunci publik yang dihasilkan ke server sebagai peer terpisah dengan alamat yang diizinkan sendiri. Kunci privat harus dibuat di perangkat dan tetap di sana; kunci yang dibuat di tempat lain dan ditempel telah melewati setidaknya satu tempat tambahan, dan perjalanan itu kini menjadi bagian dari kisah kepercayaan.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Sisi server membutuhkan kunci publik plus penetapan alamat yang diizinkan yang tidak bertabrakan dengan perangkat asli. Profil yang mempertahankan alamat tunnel lama sambil menyajikan kunci baru menghasilkan peer yang mungkin diterima server lalu dirutekan dengan salah, yang merupakan kegagalan lebih halus daripada handshake yang ditolak. Periksa penetapan alamat sebelum menyambung, bukan setelah kehilangan paket pertama yang membingungkan.

Pensiunkan duplikat tanpa merusak aslinya

Setelah identitas baru berfungsi, hapus profil yang disalin dari lingkungan perangkat asli alih-alih menghapus entri server yang masih dipakai aslinya. Jika salinan itu mungkin pernah terekspos, cabut segera dan terbitkan ulang; kenyamanan bukan alasan membiarkan rahasia bersama tetap beredar.

Layanan terkelola yang benar-benar mendukung beberapa perangkat per langganan akan memberi tahu Anda dan menerbitkan kredensial terpisah dari antarmukanya sendiri. Duplikasi manual satu profil tidak pernah menjadi model itu, bahkan ketika merek layanan menyarankan perangkat tanpa batas.

Uji kedua perangkat secara terpisah dan bersama

Verifikasi setiap perangkat sendiri dulu: handshake, penghitung transfer yang bergerak, dan tujuan yang hanya bisa dicapai tunnel. Lalu jalankan keduanya bersamaan dan amati bagaimana server melihat endpoint; dua kunci berbeda seharusnya menghasilkan dua entri peer yang stabil, bukan satu yang melompat.

Simpan kunci publik baru bersama catatan penerapan dan catat perangkat mana memegang yang mana. Tanpa daftar itu, orang berikutnya yang menyalin profil akan mengulangi kegagalan yang sama, dan handshake yang bergantian akan kembali disalahkan pada jaringan.