დაკოპირებული WireGuard პროფილი: რატომ ვარდება ორივე მოწყობილობა

გვირაბი ლეპტოპზე მუშაობდა, ამიტომ კონფიგურაციის ფაილი ტელეფონსა და პლანშეტზე გადავიდა და ახლა ხელის ჩამორთმევები სამივეზე მოდის და მიდის. არაფერი არ არის არასწორად აკრეფილი და სერვერის კონფიგურაცია არ შეცვლილა. WireGuard-ის პროფილი არ არის პაროლის მქონე ანგარიში, რომელიც რამდენიმე მოწყობილობას შეუძლია გამოიყენოს; ეს გასაღებების წყვილია და მხოლოდ საჯარო ნახევარი იდენტიფიცირებს პარტნიორს. ფაილის კოპირება იდენტობის კოპირებაა, ამიტომ სერვერი ახლა ცდილობს შეინარჩუნოს ერთი საბოლოო წერტილის კავშირი რამდენიმე მოწყობილობისთვის, რომლებიც ყველა ამბობს, რომ ერთი და იგივე არიან. სერვერის მხრიდან შესამჩნევი მეორე მოწყობილობა არ არის, მხოლოდ პარტნიორი, რომლის მისამართიც გამუდმებით იცვლება.

დაიწყეთ ხელის ჩამორთმევის ჟურნალით თითოეულ მოწყობილობაზე

გახსენით კლიენტი თითოეულ მოწყობილობაზე და ჩაწერეთ ბოლო ხელის ჩამორთმევის დრო და მიმდინარე საბოლოო წერტილი, სანამ რაიმეს შეცვლით. ჯანსაღ კონფიგურაციაში ეს მნიშვნელობები სტაბილური რჩება, სანამ მოწყობილობა გამოიყენება; გაორმაგებული იდენტობის შემთხვევაში დროის ნიშნები ერთმანეთს ენაცვლება და სერვერზე ჩაწერილი საბოლოო წერტილი შეიძლება სხვა მოწყობილობას აღწერდეს, ვიდრე ის, რომელიც პროფილს ფლობს. ეს მონაცვლეობაა ხელმოწერა და ის ხსნის, რატომ ჰგავს სიმპტომი არასტაბილურ კავშირს და არა კონფიგურაციის შეცდომას. მოწყობილობები არ არის გატეხილი; ისინი ერთმანეთს წყვეტენ.

კითხვა თავად მოწყობილობებზე გააკეთეთ, რომ ყოველი დაკვირვება კონკრეტულ მანქანას დაუკავშირდეს. მხარდაჭერის ჩატიდან დაკოპირებული დროის ნიშანი ამ კავშირს კარგავს და შემდეგ ძალიან ცოტა ღირს.

დაადასტურეთ, ერთ იდენტობას იზიარებს თუ არა ორი მოწყობილობა

შეადარეთ საჯარო გასაღებები, არასოდეს კერძოები. საჯარო გასაღები კერძოდან მიიღება, ამიტომ ერთი და იმავე კერძო გასაღების მქონე ორი პროფილი ერთსა და იმავე საჯარო გასაღებს იძლევა და სერვერისთვის განურჩეველია. თუ ორი მოწყობილობა ერთ საჯარო გასაღებს აცნობს, საკითხი გადაწყვეტილია და keepalive-ის არც ერთი რეგულირება არ დაეხმარება. არასტაბილური ხელის ჩამორთმევის მქონე ორი განსხვავებული გასაღები სულ სხვა ადგილას მიუთითებს, ამიტომ შედარება ყოველგვარ ცვლილებამდე უნდა იყოს.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

ეს ბრძანებები მხოლოდ საჯარო მასალას და მთვლელებს ბეჭდავს და სწორედ ეს სჭირდება მხარდაჭერის საუბარს. სერვერზე პარტნიორის ჩანაწერი ერთი საჯარო გასაღებით და ორ ქსელს შორის გამუდმებით მოძრავი საბოლოო წერტილით გაორმაგების მოსალოდნელი შედეგია, რადგან ახალი წყაროდან ავთენტიფიცირებული პაკეტი აახლებს, საით იგზავნება ტრაფიკი. ეს ქცევა პროტოკოლის პროექტისამებრ მუშაობაა და ამიტომ ასე ადვილად ერევა ქსელის გაუმართაობას.

სწორად მოამზადეთ მეორე იდენტობა

შექმენით ახალი გასაღებების წყვილი იმ მოწყობილობაზე, რომელსაც ის სჭირდება, შემდეგ დაუმატეთ მიღებული საჯარო გასაღები სერვერს ცალკე პარტნიორად, საკუთარი დაშვებული მისამართებით. კერძო გასაღები მოწყობილობაზე უნდა შეიქმნას და იქ დარჩეს; სხვაგან შექმნილი და ჩასმული გასაღები სულ მცირე ერთ დამატებით ადგილზე გავლილია და ეს მოგზაურობა ახლა ნდობის ისტორიის ნაწილია.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

სერვერის მხარეს სჭირდება საჯარო გასაღები და დაშვებული მისამართის მინიჭება, რომელიც თავდაპირველ მოწყობილობას არ ეჯახება. პროფილი, რომელიც ძველ გვირაბის მისამართს ინარჩუნებს, მაგრამ ახალ გასაღებს წარმოადგენს, ქმნის პარტნიორს, რომელსაც სერვერი შეიძლება მიიღოს და შემდეგ არასწორად მარშრუტიზაცია მოახდინოს, რაც უფრო დახვეწილი უკმარისობაა, ვიდრე უარყოფილი ხელის ჩამორთმევა. შეამოწმეთ მისამართის მინიჭება დაკავშირებამდე და არა პირველი დამაბნეველი პაკეტის დაკარგვის შემდეგ.

გააუქმეთ დუბლიკატი ორიგინალის დაუმტვრევლად

როცა ახალი იდენტობა იმუშავებს, ამოიღეთ დაკოპირებული პროფილი ორიგინალი მოწყობილობის გარემოცვიდან და ნუ წაშლით სერვერის იმ ჩანაწერს, რომელსაც ორიგინალი კვლავ იყენებს. თუ ასლი შეიძლება გამჟღავნებულიყო, ამის ნაცვლად დაუყოვნებლივ გააუქმეთ და შემდეგ ხელახლა გამოუშვით; მოხერხებულობა არ არის საერთო საიდუმლოს ხმარებაში დატოვების მიზეზი.

მართული სერვისი, რომელიც ნამდვილად უჭერს მხარს რამდენიმე მოწყობილობას ერთ გამოწერაზე, თავად გეტყვით ამას და გამოსცემს ცალკე რწმუნებებს საკუთარი ინტერფეისიდან. ერთი პროფილის ხელით დუბლირება არასოდეს არის ეს მოდელი, მაშინაც კი, როცა სერვისის ბრენდი შეუზღუდავ მოწყობილობებს მიანიშნებს.

შეამოწმეთ ორივე მოწყობილობა ცალ-ცალკე და ერთად

ჯერ თითოეული მოწყობილობა ცალკე გადაამოწმეთ: ხელის ჩამორთმევა, მოძრავი გადაცემის მთვლელები და დანიშნულება, სადაც მხოლოდ გვირაბი აღწევს. შემდეგ ორივე ერთდროულად გაუშვით და დააკვირდით, როგორ ხედავს სერვერი საბოლოო წერტილებს; ორმა განსხვავებულმა გასაღებმა უნდა შექმნას ორი სტაბილური პარტნიორის ჩანაწერი და არა ერთი, რომელიც ხტება.

შეინახეთ ახალი საჯარო გასაღებები განლაგების ჩანაწერებთან და ჩაწერეთ, რომელი მოწყობილობა რომელს ფლობს. ამ სიის გარეშე პროფილის შემდეგი დამკოპირებელი იმავე უკმარისობას გაიმეორებს და მონაცვლე ხელის ჩამორთმევები ისევ ქსელს დაბრალდება.