Nukopijuotas WireGuard profilis: kodėl nepavyksta abu įrenginiai

Tunelis veikė nešiojamajame kompiuteryje, todėl konfigūracijos failas buvo perkeltas į telefoną ir planšetę, ir dabar rankos paspaudimai visuose trijuose ateina ir išeina. Niekas nebuvo įvesta neteisingai ir serverio konfigūracija nebuvo redaguota. WireGuard profilis nėra paskyra su slaptažodžiu, kurią gali naudoti keli įrenginiai; tai raktų pora, ir tik viešoji pusė identifikuoja partnerį. Failo kopijavimas kopijuoja tapatybę, todėl serveris dabar bando palaikyti vieną galinio taško ryšį keliems įrenginiams, kurie visi tvirtina esantys tas pats. Iš serverio pusės nėra antro įrenginio, kurį būtų galima pastebėti, tik partneris, kurio adresas nuolat juda.

Pradėkite nuo rankos paspaudimo žurnalo kiekviename įrenginyje

Atidarykite klientą kiekviename įrenginyje ir užsirašykite paskutinio rankos paspaudimo laiką bei dabartinį galinį tašką prieš ką nors keisdami. Sveikoje sąrankoje šios reikšmės lieka stabilios, kol įrenginys naudojamas; nukopijavus tapatybę laiko žymos kaitaliojasi, o serveryje užregistruotas galinis taškas gali apibūdinti kitą įrenginį nei tą, kuriame yra profilis. Tas kaitaliojimasis ir yra parašas, ir jis paaiškina, kodėl simptomas atrodo kaip nepastovus ryšys, o ne konfigūracijos klaida. Įrenginiai nesugedę; jie pertraukia vienas kitą.

Skaitykite pačiuose įrenginiuose, kad kiekvienas stebėjimas būtų susietas su konkrečia mašina. Laiko žyma, nukopijuota iš palaikymo pokalbio, praranda tą ryšį ir vėliau yra mažai verta.

Patvirtinkite, ar du įrenginiai dalijasi viena tapatybe

Palyginkite viešuosius raktus, niekada privačiųjų. Viešasis raktas išvedamas iš privataus, todėl du profiliai su tuo pačiu privačiu raktu sukuria tą patį viešąjį raktą ir serveriui yra neatskiriami. Jei du įrenginiai praneša tą patį viešąjį raktą, klausimas išspręstas ir joks keepalive derinimas nepadės. Du skirtingi raktai su nepastoviais rankos paspaudimais rodo visai kitur, todėl palyginimas turi būti prieš bet kokį pakeitimą.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Šios komandos išspausdina tik viešąją medžiagą ir skaitiklius, o to pakanka palaikymo pokalbiui. Partnerio įrašas serveryje su vienu viešuoju raktu ir galiniu tašku, kuris nuolat juda tarp dviejų tinklų, yra laukiamas dubliavimo rezultatas, nes autentifikuotas paketas iš naujo šaltinio atnaujina, kur siunčiamas srautas. Toks elgesys yra protokolas, veikiantis taip, kaip suprojektuotas, todėl jį taip lengva supainioti su tinklo gedimu.

Tinkamai paruoškite antrą tapatybę

Sugeneruokite naują raktų porą tame įrenginyje, kuriam jos reikia, tada pridėkite gautą viešąjį raktą prie serverio kaip atskirą partnerį su savo leidžiamais adresais. Privatusis raktas turėtų būti sukurtas įrenginyje ir ten likti; kitur sukurtas ir įklijuotas raktas keliavo per bent vieną papildomą vietą, ir ta kelionė dabar yra pasitikėjimo istorijos dalis.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Serverio pusei reikia viešojo rakto ir leidžiamo adreso priskyrimo, kuris nesikerta su pradiniu įrenginiu. Profilis, kuris išlaiko seną tunelio adresą, bet pateikia naują raktą, sukuria partnerį, kurį serveris gali priimti ir paskui neteisingai nukreipti, o tai subtilesnis gedimas nei atmestas rankos paspaudimas. Patikrinkite adreso priskyrimą prieš prisijungdami, o ne po pirmojo gluminančio paketų praradimo.

Pašalinkite dublikatą nesulaužydami originalo

Kai naujoji tapatybė veiks, pašalinkite nukopijuotą profilį iš pradinio įrenginio aplinkos, o ne trinkite serverio įrašą, kurį originalas vis dar naudoja. Jei kopija galėjo būti atskleista, vietoj to nedelsdami ją atšaukite ir tada išduokite naują; patogumas nėra priežastis palikti bendrą paslaptį apyvartoje.

Valdoma paslauga, kuri iš tiesų palaiko kelis įrenginius vienai prenumeratai, jums tai pasakys ir išduos atskirus prisijungimo duomenis iš savo sąsajos. Rankinis vieno profilio dubliavimas niekada nėra tas modelis, net kai paslaugos prekės ženklas rodo neribotus įrenginius.

Išbandykite abu įrenginius atskirai ir kartu

Pirmiausia patikrinkite kiekvieną įrenginį atskirai: rankos paspaudimas, judantys perdavimo skaitikliai ir paskirties vieta, kurią pasiekia tik tunelis. Tada paleiskite abu vienu metu ir stebėkite, kaip serveris mato galinius taškus; du skirtingi raktai turėtų duoti du stabilius partnerių įrašus, o ne vieną šokinėjantį.

Saugokite naujus viešuosius raktus kartu su diegimo užrašais ir užsirašykite, kuris įrenginys kurį turi. Be to sąrašo kitas žmogus, nukopijuojantis profilį, pakartos tą patį gedimą, o kintantys rankos paspaudimai vėl bus kaltinami tinklu.