Көшірілген WireGuard профилі: екі құрылғы неге істен шығады

Туннель ноутбукте жұмыс істеген, сондықтан конфигурация файлы телефон мен планшетке көшірілді, енді үшеуінде де қол алысулар үзіліп-үзіліп тұр. Ешнәрсе қате терілмеген және сервер конфигурациясы өңделмеген. WireGuard профилі — бірнеше құрылғы пайдалана алатын құпиясөзді аккаунт емес; бұл кілттер жұбы, және тек ашық жартысы ғана серіктесті анықтайды. Файлды көшіру сәйкестікті көшіреді, сондықтан сервер қазір бәрі бірдей деп мәлімдейтін бірнеше құрылғы үшін бір ғана соңғы нүкте қатынасын ұстауға тырысуда. Сервер жағынан байқалатын екінші құрылғы жоқ, тек мекенжайы үнемі жылжып отыратын серіктес бар.

Әр құрылғыдағы қол алысу журналынан бастаңыз

Әр құрылғыда клиентті ашып, бірдеңені өзгертуден бұрын соңғы қол алысу уақытын және ағымдағы соңғы нүктені жазып алыңыз. Сау баптауда бұл мәндер құрылғы пайдаланылып жатқанда тұрақты болады; қайталанған сәйкестікте уақыт белгілері кезектесіп келеді, ал серверде тіркелген соңғы нүкте профилі бар құрылғыдан өзге құрылғыны сипаттауы мүмкін. Дәл осы кезектесу — қолтаңба, және ол симптомның баптау қатесі емес, тұрақсыз байланыс болып көрінуін түсіндіреді. Құрылғылар бұзылмаған; олар бір-біріне кедергі жасап жатыр.

Оқуды құрылғылардың өзінде жасаңыз, сонда әр байқау нақты машинаға байланысты болады. Қолдау чатынан көшірілген уақыт белгісі сол байланысты жоғалтады және кейін өте аз құнды.

Екі құрылғының бір сәйкестікті бөлісетінін растаңыз

Ашық кілттерді салыстырыңыз, ешқашан жеке кілттерді емес. Ашық кілт жеке кілттен туындайды, сондықтан бірдей жеке кілті бар екі профиль бірдей ашық кілт береді және сервер үшін ажыратылмайды. Егер екі құрылғы бір ашық кілтті хабарласа, мәселе шешілді және keepalive-тің ешбір реттеуі көмектеспейді. Тұрақсыз қол алысулары бар екі түрлі кілт мүлдем басқа жерді нұсқайды, сондықтан салыстыру кез келген өзгеріске дейін болуы керек.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Бұл командалар тек ашық материал мен санауыштарды шығарады, ал қолдау әңгімесіне осының бәрі жетеді. Серверде бір ашық кілті және екі желі арасында үнемі жылжитын соңғы нүктесі бар серіктес жазбасы қайталаудың күтілетін нәтижесі, өйткені жаңа көзден келген аутентификацияланған пакет трафиктің қайда жіберілетінін жаңартады. Бұл мінез-құлық протоколдың жобаланғандай жұмысы, сондықтан оны желі ақауымен шатастыру соншалықты оңай.

Екінші сәйкестікті дұрыс дайындаңыз

Оған мұқтаж құрылғыда жаңа кілттер жұбын жасап, содан кейін алынған ашық кілтті өз рұқсат етілген мекенжайларымен бірге жеке серіктес ретінде серверге қосыңыз. Жеке кілт құрылғыда жасалып, сол жерде қалуы керек; басқа жерде жасалып қойылған кілт кемінде бір артық орыннан өткен, және бұл сапар енді сенім тарихының бөлігі.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Сервер жағына ашық кілт және түпнұсқа құрылғымен қақтығыспайтын рұқсат етілген мекенжай тағайындауы қажет. Ескі туннель мекенжайын сақтап, жаңа кілт ұсынатын профиль сервер қабылдап, кейін дұрыс емес маршруттайтын серіктес жасайды, бұл қабылданбаған қол алысудан әлдеқайда нәзік ақау. Мекенжай тағайындауын қосылудан бұрын тексеріңіз, алғашқы түсініксіз пакет жоғалтуынан кейін емес.

Дубликатты түпнұсқаны бұзбай алып тастаңыз

Жаңа сәйкестік жұмыс істегеннен кейін көшірілген профильді түпнұсқа құрылғының айналасынан алып тастаңыз, түпнұсқа әлі пайдаланып отырған сервер жазбасын жоймаңыз. Егер көшірме ашылған болуы мүмкін болса, оның орнына дереу күшін жойып, кейін қайта шығарыңыз; ыңғайлылық ортақ құпияны айналымда қалдыруға себеп емес.

Бір жазылымға бірнеше құрылғыны шынымен қолдайтын басқарылатын қызмет мұны өзі айтады және өз интерфейсінен жеке тіркелгі деректерін шығарады. Бір профильді қолмен көшіру ешқашан сол модель емес, қызмет бренді шексіз құрылғыларды меңзесе де.

Екі құрылғыны бөлек және бірге сынаңыз

Алдымен әр құрылғыны жеке тексеріңіз: қол алысу, қозғалып жатқан беріліс санауыштары және тек туннель жететін меже. Содан кейін екеуін бір уақытта іске қосып, сервердің соңғы нүктелерді қалай көретінін бақылаңыз; екі түрлі кілт секіріп тұратын бір жазбаның орнына екі тұрақты серіктес жазбасын беруі керек.

Жаңа ашық кілттерді орналастыру жазбаларымен бірге сақтап, қай құрылғының қайсысын ұстайтынын жазыңыз. Сол тізімсіз профильді көшіретін келесі адам сол ақауды қайталайды, ал кезектесіп тұрған қол алысулар қайтадан желіге жабылады.