Nokopēts WireGuard profils: kāpēc abas ierīces nespēj strādāt

Tunelis darbojās klēpjdatorā, tāpēc konfigurācijas fails tika pārnests uz tālruni un planšetdatoru, un tagad rokas paspiešanas visos trijos nāk un iet. Nekas netika ievadīts nepareizi un servera konfigurācija netika rediģēta. WireGuard profils nav konts ar paroli, ko var izmantot vairākas ierīces; tas ir atslēgu pāris, un tikai publiskā puse identificē partneri. Faila kopēšana kopē identitāti, tāpēc serveris tagad cenšas uzturēt vienu galapunkta attiecību vairākām ierīcēm, kuras visas apgalvo, ka ir viena un tā pati. No servera puses nav otras ierīces, ko pamanīt, tikai partneris, kura adrese nepārtraukti mainās.

Sāciet ar rokas paspiešanas žurnālu katrā ierīcē

Atveriet klientu katrā ierīcē un pierakstiet pēdējās rokas paspiešanas laiku un pašreizējo galapunktu, pirms kaut ko maināt. Veselā iestatījumā šīs vērtības paliek stabilas, kamēr ierīce tiek lietota; dublētā identitātē laika zīmogi mija, un serverī reģistrētais galapunkts var aprakstīt citu ierīci, nevis to, kurā ir profils. Šī mija ir paraksts, un tā izskaidro, kāpēc simptoms izskatās pēc nestabila savienojuma, nevis konfigurācijas kļūdas. Ierīces nav salūzušas; tās pārtrauc viena otru.

Lasiet pašās ierīcēs, lai katrs novērojums būtu piesaistīts konkrētai mašīnai. Laika zīmogs, kas nokopēts no atbalsta tērzēšanas, zaudē šo saikni un pēc tam ir maz vērts.

Apstipriniet, vai divas ierīces dala vienu identitāti

Salīdziniet publiskās atslēgas, nekad privātās. Publiskā atslēga tiek atvasināta no privātās, tāpēc divi profili ar vienu un to pašu privāto atslēgu rada vienu un to pašu publisko atslēgu un serverim nav atšķirami. Ja divas ierīces ziņo vienu un to pašu publisko atslēgu, jautājums ir atrisināts un nekāda keepalive regulēšana nepalīdzēs. Divas dažādas atslēgas ar nestabiliem rokas paspiešanas gadījumiem norāda pavisam citur, tāpēc salīdzinājumam jābūt pirms jebkādām izmaiņām.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Šīs komandas izdrukā tikai publisku materiālu un skaitītājus, un ar to atbalsta sarunai pietiek. Partnera ieraksts serverī ar vienu publisko atslēgu un galapunktu, kas nepārtraukti pārvietojas starp diviem tīkliem, ir gaidāmais dublēšanas rezultāts, jo autentificēts pakets no jauna avota atjaunina, kur tiek sūtīta plūsma. Šāda uzvedība ir protokols, kas darbojas kā projektēts, tāpēc to tik viegli sajauc ar tīkla kļūmi.

Pareizi nodrošiniet otru identitāti

Ģenerējiet jaunu atslēgu pāri ierīcē, kurai tas nepieciešams, pēc tam pievienojiet iegūto publisko atslēgu serverim kā atsevišķu partneri ar savām atļautajām adresēm. Privātā atslēga jāveido ierīcē un jāpaliek tur; atslēga, kas ģenerēta citur un ielīmēta, ir gājusi cauri vismaz vienai papildu vietai, un šis ceļojums tagad ir daļa no uzticības stāsta.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Servera pusei nepieciešama publiskā atslēga un atļautās adreses piešķiršana, kas nesaduras ar sākotnējo ierīci. Profils, kas saglabā veco tuneļa adresi, bet uzrāda jaunu atslēgu, rada partneri, ko serveris var pieņemt un pēc tam nepareizi maršrutēt, kas ir smalkāka kļūme nekā noraidīta rokas paspiešana. Pārbaudiet adreses piešķiršanu pirms savienošanas, nevis pēc pirmā mulsinošā pakešu zuduma.

Izņemiet dublikātu, nesalaužot oriģinālu

Kad jaunā identitāte darbojas, noņemiet nokopēto profilu no sākotnējās ierīces apkārtnes, nevis dzēsiet servera ierakstu, ko oriģināls joprojām izmanto. Ja kopija varēja būt atklāta, tā vietā nekavējoties to atsauciet un pēc tam izsniedziet jaunu; ērtība nav iemesls atstāt kopīgu noslēpumu apgrozībā.

Pārvaldīts pakalpojums, kas patiešām atbalsta vairākas ierīces vienam abonementam, to pateiks un izsniegs atsevišķus akreditācijas datus no savas saskarnes. Viena profila manuāla dublēšana nekad nav šis modelis, pat ja pakalpojuma zīmols liecina par neierobežotu ierīču skaitu.

Pārbaudiet abas ierīces atsevišķi un kopā

Vispirms pārbaudiet katru ierīci atsevišķi: rokas paspiešana, kustīgi pārsūtīšanas skaitītāji un galamērķis, ko sasniedz tikai tunelis. Pēc tam palaidiet abas vienlaikus un vērojiet, kā serveris redz galapunktus; divām dažādām atslēgām vajadzētu dot divus stabilus partneru ierakstus, nevis vienu lēkājošu.

Glabājiet jaunās publiskās atslēgas kopā ar izvietošanas piezīmēm un pierakstiet, kura ierīce kuru tur. Bez šī saraksta nākamais cilvēks, kas kopēs profilu, atkārtos to pašu kļūmi, un mainīgās rokas paspiešanas atkal tiks vainotas tīklā.