प्रतिलिपि गरिएको WireGuard प्रोफाइल: दुवै उपकरण किन असफल हुन्छन्

ल्यापटपमा टनेल चलिरहेको थियो, त्यसैले कन्फिग फाइल फोन र ट्याब्लेटमा गयो, र अब तीनैमा ह्यान्डशेक आउने-जाने गरिरहेका छन्। केही पनि गलत टाइप भएको छैन र सर्भर कन्फिगरेसन सम्पादन गरिएको छैन। WireGuard प्रोफाइल भनेको धेरै उपकरणले प्रयोग गर्न सक्ने पासवर्ड भएको खाता होइन; यो कुञ्जी जोडी हो, र सार्वजनिक आधा भागले मात्र पियर चिन्छ। फाइल प्रतिलिपि गर्नु भनेको पहिचान प्रतिलिपि गर्नु हो, त्यसैले सर्भर अब सबै आफूलाई एउटै भएको दाबी गर्ने धेरै उपकरणका लागि एउटै इन्डपोइन्ट सम्बन्ध राख्न खोजिरहेको छ। सर्भरको तर्फबाट ध्यान दिने दोस्रो उपकरण छैन, ठेगाना निरन्तर सर्ने पियर मात्र छ।

प्रत्येक उपकरणको ह्यान्डशेक लगबाट सुरु गर्नुहोस्

प्रत्येक उपकरणमा क्लाइन्ट खोल्नुहोस् र केही बदल्नु अघि अन्तिम ह्यान्डशेकको समय र हालको इन्डपोइन्ट लेख्नुहोस्। स्वस्थ सेटअपमा उपकरण प्रयोगमा हुँदा यी मानहरू स्थिर रहन्छन्; नक्कल गरिएको पहिचानमा समय-छापहरू पालैपालो आउँछन्, र सर्भरमा अभिलेख गरिएको इन्डपोइन्ट प्रोफाइल भएको उपकरणभन्दा फरक उपकरणको वर्णन गर्न सक्छ। यही पालैपालो आउनु हस्ताक्षर हो, र लक्षण कन्फिगरेसन त्रुटिभन्दा अस्थिर जडानजस्तो किन देखिन्छ भन्ने यसैले बुझाउँछ। उपकरण बिग्रेका छैनन्; ती एक-अर्कालाई अवरोध गरिरहेका छन्।

पढाइ उपकरणहरूमै गर्नुहोस्, ताकि हरेक अवलोकन कुनै निश्चित मेसिनसँग जोडियोस्। सहयोग च्याटबाट प्रतिलिपि गरिएको समय-छाप त्यो जोडाइ गुमाउँछ र पछि धेरै कम मूल्यको हुन्छ।

दुई उपकरणले एउटै पहिचान साझा गर्छन् कि भनी पुष्टि गर्नुहोस्

सार्वजनिक कुञ्जीहरू तुलना गर्नुहोस्, निजी कुञ्जी कहिल्यै होइन। सार्वजनिक कुञ्जी निजी कुञ्जीबाट निस्कन्छ, त्यसैले एउटै निजी कुञ्जी भएका दुई प्रोफाइलले एउटै सार्वजनिक कुञ्जी बनाउँछन् र सर्भरका लागि अभेद्य हुन्छन्। यदि दुई उपकरणले एउटै सार्वजनिक कुञ्जी रिपोर्ट गर्छन् भने प्रश्न टुंगियो र कुनै पनि keepalive ट्युनिङले सहयोग गर्दैन। अस्थिर ह्यान्डशेक भएका दुई फरक कुञ्जीले पूर्ण रूपमा अर्कै ठाउँतिर संकेत गर्छन्, त्यसैले कुनै पनि परिवर्तनअघि तुलना आउनुपर्छ।

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

यी आदेशहरूले सार्वजनिक सामग्री र काउन्टर मात्र छाप्छन्, र सहयोग वार्तालापलाई त्यति नै चाहिन्छ। एउटा सार्वजनिक कुञ्जी र दुई नेटवर्कबीच निरन्तर सर्ने इन्डपोइन्ट भएको सर्भर पियर प्रविष्टि नक्कलको अपेक्षित परिणाम हो, किनकि नयाँ स्रोतबाट प्रमाणित प्याकेटले ट्राफिक कहाँ पठाइन्छ भन्ने अद्यावधिक गर्छ। यो व्यवहार प्रोटोकलको डिजाइनअनुसार चल्नु हो, त्यसैले यसलाई नेटवर्क खराबी ठान्न यति सजिलो छ।

दोस्रो पहिचान ठीक ढंगले तयार गर्नुहोस्

आवश्यक पर्ने उपकरणमा नयाँ कुञ्जी जोडी बनाउनुहोस्, त्यसपछि बनेको सार्वजनिक कुञ्जी आफ्नै अनुमति दिइएका ठेगानाहरूसहित अलग पियरको रूपमा सर्भरमा थप्नुहोस्। निजी कुञ्जी उपकरणमै बन्नुपर्छ र त्यहीँ रहनुपर्छ; अन्यत्र बनाएर टाँसिएको कुञ्जी कम्तीमा एउटा अतिरिक्त ठाउँबाट गएको छ, र त्यो यात्रा अब विश्वासको कथाको भाग हो।

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

सर्भर पक्षलाई सार्वजनिक कुञ्जी र मूल उपकरणसँग नभिड्ने अनुमति दिइएको ठेगाना बाँडफाँट चाहिन्छ। पुरानो टनेल ठेगाना राखेर नयाँ कुञ्जी देखाउने प्रोफाइलले सर्भरले स्वीकार गरेर पछि गलत मार्गनिर्देशन गर्न सक्ने पियर बनाउँछ, जुन अस्वीकृत ह्यान्डशेकभन्दा सूक्ष्म असफलता हो। जडान गर्नुअघि ठेगाना बाँडफाँट जाँच्नुहोस्, पहिलो अलमल्याउने प्याकेट हानिपछि होइन।

मूल नतोडी नक्कल हटाउनुहोस्

नयाँ पहिचान चलेपछि, मूल उपकरणले अझै प्रयोग गरिरहेको सर्भर प्रविष्टि मेटाउनुको सट्टा प्रतिलिपि गरिएको प्रोफाइल मूल उपकरणको वरपरबाट हटाउनुहोस्। यदि प्रतिलिपि खुलासा भएको हुन सक्छ भने यसको सट्टा तुरुन्तै रद्द गर्नुहोस् र त्यसपछि फेरि जारी गर्नुहोस्; सुविधा साझा गोप्य कुरा चलनमा राख्ने कारण होइन।

प्रति सदस्यता धेरै उपकरण साँच्चै समर्थन गर्ने व्यवस्थित सेवाले तपाईंलाई त्यो भन्छ र आफ्नै इन्टरफेसबाट छुट्टै प्रमाणपत्र जारी गर्छ। एउटा प्रोफाइलको हातले नक्कल कहिल्यै त्यो मोडेल होइन, सेवाको ब्रान्डिङले असीमित उपकरण संकेत गरे पनि।

दुवै उपकरण छुट्टाछुट्टै र सँगै परीक्षण गर्नुहोस्

पहिले प्रत्येक उपकरण एक्लै प्रमाणित गर्नुहोस्: ह्यान्डशेक, चल्ने स्थानान्तरण काउन्टर, र टनेलले मात्र पुग्ने गन्तव्य। त्यसपछि दुवैलाई एकै समयमा चलाउनुहोस् र सर्भरले इन्डपोइन्टहरूलाई कसरी देख्छ हेर्नुहोस्; दुई फरक कुञ्जीले उफ्रने एउटा प्रविष्टिको सट्टा दुई स्थिर पियर प्रविष्टि दिनुपर्छ।

नयाँ सार्वजनिक कुञ्जीहरू परिनियोजन टिप्पणीसँगै राख्नुहोस् र कुन उपकरणले कुन राख्छ लेख्नुहोस्। त्यो सूची नभए प्रोफाइल प्रतिलिपि गर्ने अर्को व्यक्तिले त्यही असफलता दोहोर्याउनेछ, र पालैपालो आउने ह्यान्डशेकमा फेरि नेटवर्कलाई दोष दिइनेछ।