Копиран WireGuard профил: зошто и двата уреда не работат

Тунелот работеше на преносниот сметач, па конфигурациската датотека се префрли на телефонот и таблетот, и сега ракувањата доаѓаат и одат на сите три. Ништо не е погрешно внесено и конфигурацијата на серверот не е уредувана. WireGuard профилот не е сметка со лозинка што можат да ја користат повеќе уреди; тоа е пар клучеви, и само јавната половина идентификува партнер. Копирањето на датотеката го копира идентитетот, па серверот сега се обидува да одржи една врска со крајна точка за повеќе уреди што сите тврдат дека се истиот. Од страната на серверот нема втор уред што би се забележал, само партнер чија адреса постојано се менува.

Започнете со дневникот на ракување на секој уред

Отворете го клиентот на секој уред и забележете го времето на последното ракување и тековната крајна точка пред да промените нешто. Во здраво поставување тие вредности остануваат стабилни додека уредот се користи; со дуплиран идентитет временските ознаки се менуваат наизменично, а крајната точка забележана на серверот може да опишува друг уред од оној што го држи профилот. Токму таа наизменичност е потписот, и објаснува зошто симптомот изгледа како нестабилна врска, а не како грешка во конфигурацијата. Уредите не се расипани; тие се прекинуваат меѓусебно.

Читајте на самите уреди, за секое набљудување да биде поврзано со одредена машина. Временската ознака копирана од разговор за поддршка ја губи таа врска и потоа вреди многу малку.

Потврдете дали два уреда делат еден идентитет

Споредете ги јавните клучеви, никогаш приватните. Јавниот клуч се изведува од приватниот, па два профила со истиот приватен клуч даваат ист јавен клуч и за серверот се неразлични. Ако два уреда пријават ист јавен клуч, прашањето е решено и никакво прилагодување на keepalive нема да помогне. Два различни клуча со нестабилни ракувања покажуваат сосема на друго место, затоа споредбата мора да дојде пред секоја промена.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Овие наредби печатат само јавен материјал и бројачи, а тоа е сè што му треба на разговор за поддршка. Запис за партнер на серверот со еден јавен клуч и крајна точка што постојано се движи меѓу две мрежи е очекуваниот резултат од дуплирањето, бидејќи автентифициран пакет од нов извор ажурира каде се праќа сообраќајот. Тоа однесување е протоколот како што е проектиран, затоа толку лесно се меша со мрежна дефект.

Обезбедете втор идентитет правилно

Создадете нов пар клучеви на уредот на кој му треба, потоа додајте го добиениот јавен клуч на серверот како посебен партнер со сопствени дозволени адреси. Приватниот клуч треба да се создаде на уредот и да остане таму; клуч создаден на друго место и вметнат поминал низ барем едно дополнително место, и тоа патување сега е дел од приказната за доверба.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Серверската страна го бара јавниот клуч плус доделување дозволена адреса што не се судира со оригиналниот уред. Профил што ја задржува старата адреса на тунелот, но прикажува нов клуч, создава партнер што серверот може да го прифати и потоа погрешно да го насочи, што е посуптилна дефект од одбиено ракување. Проверете го доделувањето на адресата пред поврзување, не по првото збунувачко губење пакети.

Повлечете го дупликатот без да го скршите оригиналот

Откако новиот идентитет ќе проработи, отстранете го копираниот профил од опкружувањето на оригиналниот уред наместо да го избришете серверскиот запис што оригиналот сè уште го користи. Ако копијата можеби била изложена, наместо тоа веднаш откажете ја и потоа издајте нова; удобноста не е причина да оставите заедничка тајна во оптек.

Управувана услуга што навистина поддржува повеќе уреди по претплата ќе ви го каже тоа и ќе издаде одделни акредитиви од сопствениот интерфејс. Рачното дуплирање на еден профил никогаш не е тој модел, дури и кога брендот на услугата сугерира неограничени уреди.

Тестирајте ги двата уреда одделно и заедно

Прво проверете го секој уред сам: ракување, бројачи на пренос што се движат и одредиште до кое стигнува само тунелот. Потоа пуштете ги двата истовремено и гледајте како серверот ги гледа крајните точки; два различни клуча треба да дадат два стабилни записи за партнери, а не еден што скока.

Чувајте ги новите јавни клучеви со белешките за распоредување и запишете кој уред го држи кој. Без тој список, следниот човек што ќе копира профил ќе ја повтори истата дефект, и наизменичните ракувања повторно ќе им се припишат на мрежата.