Profil WireGuard yang disalin: mengapa kedua-dua peranti gagal

Tunnel berfungsi pada komputer riba, jadi fail konfigurasi disalin ke telefon dan tablet, dan kini jabat tangan datang dan pergi pada ketiga-tiganya. Tiada apa yang tersalah taip dan konfigurasi pelayan tidak diedit. Profil WireGuard bukan akaun dengan kata laluan yang boleh digunakan oleh beberapa peranti; ia ialah pasangan kunci, dan hanya separuh awam yang mengenal pasti rakan. Menyalin fail menyalin identiti, jadi pelayan kini cuba mengekalkan satu hubungan titik akhir untuk beberapa peranti yang semuanya mendakwa mereka sama. Dari sisi pelayan tiada peranti kedua untuk diperhatikan, hanya rakan yang alamatnya sentiasa berubah.

Mulakan dengan log jabat tangan pada setiap peranti

Buka klien pada setiap peranti dan catat masa jabat tangan terakhir serta titik akhir semasa sebelum mengubah apa-apa. Dalam persediaan yang sihat nilai-nilai itu kekal stabil selagi peranti digunakan; dengan identiti berganda cap masa bergilir-gilir, dan titik akhir yang direkodkan pada pelayan mungkin menerangkan peranti yang berbeza daripada yang memegang profil. Pergiliran itulah tandanya, dan ia menjelaskan mengapa gejala kelihatan seperti sambungan tidak stabil dan bukan ralat konfigurasi. Peranti tidak rosak; ia saling mengganggu.

Lakukan pembacaan pada peranti itu sendiri, supaya setiap pemerhatian terikat pada mesin tertentu. Cap masa yang disalin daripada sembang sokongan kehilangan ikatan itu dan selepas itu kurang bernilai.

Sahkan sama ada dua peranti berkongsi satu identiti

Bandingkan kunci awam, jangan sekali-kali yang peribadi. Kunci awam diterbitkan daripada kunci peribadi, jadi dua profil yang mengandungi kunci peribadi yang sama menghasilkan kunci awam yang sama dan tidak dapat dibezakan oleh pelayan. Jika dua peranti melaporkan kunci awam yang sama, persoalannya selesai dan tiada penalaan keepalive akan membantu. Dua kunci berbeza dengan jabat tangan tidak stabil menunjuk ke tempat lain sama sekali, sebab itu perbandingan mesti dibuat sebelum sebarang perubahan.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Perintah ini hanya mencetak bahan awam dan pembilang, dan itulah semua yang diperlukan oleh perbualan sokongan. Entri rakan pada pelayan dengan satu kunci awam dan titik akhir yang sentiasa bergerak antara dua rangkaian ialah hasil jangkaan daripada pertindihan, kerana paket yang disahkan daripada sumber baharu mengemas kini ke mana trafik dihantar. Tingkah laku itu ialah protokol yang berfungsi sebagaimana direka, sebab itu ia begitu mudah disalah anggap sebagai kerosakan rangkaian.

Sediakan identiti kedua dengan betul

Jana pasangan kunci baharu pada peranti yang memerlukannya, kemudian tambah kunci awam yang terhasil ke pelayan sebagai rakan berasingan dengan alamat dibenarkan sendiri. Kunci peribadi patut dijana pada peranti dan kekal di situ; kunci yang dijana di tempat lain dan ditampal telah melalui sekurang-kurangnya satu tempat tambahan, dan perjalanan itu kini sebahagian daripada kisah kepercayaan.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Sisi pelayan memerlukan kunci awam serta penetapan alamat dibenarkan yang tidak bertembung dengan peranti asal. Profil yang mengekalkan alamat tunnel lama sambil menunjukkan kunci baharu menghasilkan rakan yang mungkin diterima oleh pelayan dan kemudian dihalakan dengan salah, yang merupakan kegagalan lebih halus daripada jabat tangan yang ditolak. Semak penetapan alamat sebelum menyambung, bukan selepas kehilangan paket pertama yang mengelirukan.

Bersarakan pertindihan tanpa merosakkan asal

Sebaik identiti baharu berfungsi, keluarkan profil yang disalin daripada persekitaran peranti asal dan bukannya memadam entri pelayan yang masih digunakan oleh asal. Jika salinan itu mungkin telah terdedah, batalkan segera dan kemudian keluarkan semula; kemudahan bukan alasan untuk membiarkan rahsia bersama berlegar.

Perkhidmatan terurus yang benar-benar menyokong beberapa peranti bagi setiap langganan akan memberitahu anda dan mengeluarkan kelayakan berasingan daripada antara muka sendiri. Pertindihan manual satu profil tidak pernah menjadi model itu, walaupun penjenamaan perkhidmatan mencadangkan peranti tanpa had.

Uji kedua-dua peranti secara berasingan dan bersama

Sahkan setiap peranti secara bersendirian dahulu: jabat tangan, pembilang pemindahan yang bergerak, dan destinasi yang hanya boleh dicapai oleh tunnel. Kemudian jalankan kedua-duanya serentak dan perhatikan bagaimana pelayan melihat titik akhir; dua kunci berbeza sepatutnya menghasilkan dua entri rakan yang stabil dan bukan satu yang melompat.

Simpan kunci awam baharu bersama nota penggunaan dan catat peranti mana memegang yang mana. Tanpa senarai itu, orang seterusnya yang menyalin profil akan mengulangi kegagalan yang sama, dan jabat tangan yang bergilir-gilir akan kembali dipersalahkan pada rangkaian.