Kopéierte WireGuard-Profil: firwat béid Apparater versoen

Den Tunnel huet um Laptop funktionéiert, dofir ass d’Konfiguratiounsdatei op den Telefon an den Tablet gaang, an elo kommen an goen d’Handshakes op allen dräi. Nichts gouf falsch getippt an d’Serverkonfiguratioun gouf net geännert. En WireGuard-Profil ass keen Kont mat Passwuert, deen e puer Apparater kënnen notzen; et ass e Schlësselpaar, an nëmmen déi ëffentlech Hallschent identifizéiert e Peer. D’Datei kopéieren heescht d’Identitéit kopéieren, also probéiert den Server elo eng eenzeg Endpunktbezéiung fir e puer Apparater ze halen, déi alleguer behaapten déiselwecht ze sinn. Vun der Serversäit gëtt et keen zweeten Apparat ze bemierken, nëmmen e Peer deem seng Adress sech stänneg verréckelt.

Fänkt mam Handshake-Log op all Apparat un

Maacht de Client op all Apparat op a notéiert d’lescht Handshakezäit an den aktuellen Endpunkt, ier Dir eppes ännert. An enger gesonder Ariichtung bleiwen dës Wäerter stabil, soulaang en Apparat benotzt gëtt; bei enger duplizéierter Identitéit wiesselen d’Zäitstempelen sech of, an den Endpunkt, deen um Server agedroe gouf, kann en aneren Apparat beschreiwen wéi deen, deen de Profil hält. Dee Wiessel ass d’Signatur, an en erkläert, firwat de Symptom wéi eng onbestänneg Verbindung ausgesäit an net wéi e Konfiguratiounsfehler. D’Apparater si net futti; si ënnerbrieche sech géigesäiteg.

Maacht d’Liesen op den Apparater selwer, esou datt all Observatioun un eng bestëmmte Maschinn gebonnen ass. En Zäitstempel, deen aus engem Supportchat kopéiert gouf, verléiert déi Bindung a wäert duerno ganz wéineg.

Bestätegt, ob zwee Apparater eng Identitéit deelen

Vergläicht déi ëffentlech Schlësselen, ni déi privat. Den ëffentleche Schlëssel gëtt vum private ofgeleet, also ginn zwee Profiler mam selwechten private Schlëssel dee selwechten ëffentleche Schlëssel a sinn fir den Server net z’ënnerscheeden. Wann zwee Apparater dee selwechten ëffentleche Schlëssel mellen, ass d’Fro gekläert a keng keepalive-Astellens hëlleft. Zwee verschidde Schlësselen mat onbestännegen Handshakes weisen op eng ganz aner Plaz, dofir muss de Verglach virun all Ännerung kommen.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Dës Befehler drécken nëmmen ëffentlecht Material a Comptoiren, an dat ass alles, wat eng Supportkonversatioun brauch. En Peer-Andrag um Server mat engem ëffentleche Schlëssel an engem Endpunkt, deen sech stänneg tëschent zwou Netzwierker verréckelt, ass dat erwaart Resultat vun der Duplizéierung, well en authentifizéierte Pak vun enger neier Quell aktualiséiert, wouhin den Trafic geet. Dat Verhalen ass de Protokoll, deen esou funktionéiert wéi entworf, an dofir gëtt et esou einfach fir e Netzwierkfehler gehalen.

Stellt eng zweet Identitéit richteg aus

Generéiert en neit Schlësselpaar op deem Apparat, deen een brauch, a füügt dann den ëffentleche Schlëssel, deen dobäi erauskënnt, als separate Peer mat sengen eegene erlaabten Adressen um Server derbäi. De private Schlëssel sollt um Apparat entstoen an do bleiwen; e Schlëssel, deen anzwousch anescht generéiert an agefüügt gouf, ass duerch op d’mannst eng zousätzlech Plaz gereest, an déi Rees ass elo Deel vun der Vertrauensgeschicht.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

D’Serversäit brauch den ëffentleche Schlëssel plus eng Zouweisung vun enger erlaabter Adress, déi net mam ursprénglechen Apparat kollidéiert. En Profil, deen déi al Tunneladress behält, awer en neie Schlëssel weist, erstellt e Peer, deen den Server vläicht unhëlt an duerno falsch routéiert, wat e méi subtile Fehler ass wéi en ofgeleenten Handshake. Kontrolléiert d’Adresszouweisung ier Dir Iech verbënnt, net no der éischter verwirrender Paketverloscht.

Zieft d’Duplikat of, ouni d’Original ze briechen

Soubal déi nei Identitéit funktionéiert, huelt de kopéierte Profil aus dem Ëmfeld vum ursprénglechen Apparat eraus, amplaz den Serverandrag ze läschen, deen d’Original nach benotzt. Wann de Kopie kéint exponéiert gi sinn, widerrufft en amplaz direkt an erstellt dann en neien; Komfort ass kee Grond, e gedeelt Geheimnis am Ëmlaf ze loossen.

En verwalteten Service, deen tatsächlech e puer Apparater pro Abonnement ënnerstëtzt, wäert Iech dat soen an separat Umeldungsinformatioune vu sengem eegene Interface ausstellen. Manuell Duplizéierung vun engem Profil ass ni dee Modell, och wann d’Mark vum Service onbegrenzt Apparater suggeréiert.

Testet béid Apparater eenzel an zesummen

Iwwerpréift all Apparat fir sech als éischt: Handshake, Comptoiren déi sech beweegen an en Zil, dat nëmmen den Tunnel erreecht. Da lafe béid gläichzäiteg a beobacht, wéi den Server d’Endpunkte gesäit; zwee ënnerschiddlech Schlësselen sollten zwee stabil Peer-Andräg erginn amplaz engem, deen spréngt.

Hält déi nei ëffentlech Schlësselen bei den Asaznotizen a schreift op, wéi en Apparat wéien hält. Ouni dee Lëscht widderhëlt déi nächst Persoun, déi e Profil kopéiert, deeselwechte Fehler, an déi ofwiesselend Handshakes ginn erëm dem Netzwierk ugeschriwwen.