Kopiert WireGuard-profil: kvifor begge einingane sviktar

Tunnelen fungerte på den berbare datamaskina, så konfigurasjonsfila vart kopiert til telefonen og nettbrettet, og no kjem og går handtrykka på alle tre. Ingenting vart skrive feil, og serverkonfigurasjonen vart ikkje redigert. Eit WireGuard-profil er ikkje ein konto med passord som fleire einingar kan bruke; det er eit nøkkelpar, og berre den offentlege halvdelen identifiserer ein peer. Kopiering av fila kopierer identiteten, så serveren prøver no å halde eitt endepunktforhold for fleire einingar som alle hevdar å vere den same. Frå serversida er det inga andre einingar å leggje merke til, berre ein peer kva adresse stadig flyttar seg.

Start med handtrykksloggen på kvar eining

Opne klienten på kvar eining og noter tidspunktet for siste handtrykk og gjeldande endepunkt før du endrar noko. I eit sunt oppsett held desse verdiane seg stabile medan ei eining er i bruk; med ein duplisert identitet vekslar tidsstempla, og endepunktet som er registrert på serveren, kan skildre ei anna eining enn den som har profilen. Den vekslinga er signaturen, og ho forklarer kvifor symptomet ser ut som ustabil tilkopling og ikkje ein konfigurasjonsfeil. Einingane er ikkje øydelagde; dei avbryt kvarandre.

Gjer lesinga på einingane sjølve, slik at kvar observasjon er knytt til ein bestemt maskin. Eit tidsstempel som er kopiert frå ein støttechat, mistar den koplinga og er lite verdt etterpå.

Stadfest om to einingar deler éin identitet

Samanlikn dei offentlege nøklane, aldri dei private. Den offentlege nøkkelen er utleidd frå den private, så to profil med same private nøkkel gjev same offentlege nøkkel og er ugjenkjennelege for serveren. Viss to einingar rapporterer same offentlege nøkkel, er spørsmålet avgjort, og ingen keepalive-justering vil hjelpe. To ulike nøklar med ustabile handtrykk peikar ein heilt annan stad, og difor må samanlikninga kome før kvar endring.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Desse kommandoane skriv berre ut offentleg materiale og teljarar, og det er alt ein støttesamtale treng. Ei peer-oppføring på serveren med éin offentleg nøkkel og eit endepunkt som stadig flyttar seg mellom to nettverk, er det forventa resultatet av dupliseringa, fordi ein autentisert pakke frå ei ny kjelde oppdaterer kvar trafikken blir send. Den åtferda er protokollen som verkar som designa, og difor blir han så lett forveksla med ein nettverksfeil.

Provisioner ein andre identitet på rett måte

Generer eit nytt nøkkelpar på eininga som treng det, og legg deretter den resulterande offentlege nøkkelen til på serveren som ein eigen peer med eigne tillatne adresser. Den private nøkkelen bør opprettast på eininga og bli der; ein nøkkel som blir generert andre stader og limt inn, har reist gjennom minst ein ekstra stad, og den reisa er no del av tillitshistoria.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Serversida treng den offentlege nøkkelen pluss ei tildeling av tillaten adresse som ikkje kolliderer med den opphavlege eininga. Eit profil som held den gamle tunneladressa medan det presenterer ein ny nøkkel, gjev ein peer som serveren kanskje godtek og deretter rutar feil, noko som er ein meir subtil feil enn eit avvist handtrykk. Sjekk adressetildelinga før du koplar til, ikkje etter det første forvirrande pakketapet.

Fas ut duplikatet utan å øydelegge originalen

Når den nye identiteten fungerer, fjernar du det kopierte profilen frå omgjevnadene til den opphavlege eininga i staden for å slette serveroppføringa som originalen framleis brukar. Viss kopien kan ha vorte eksponert, kallar du han i staden attende med ein gong og utferdar deretter ein ny; komfort er ikkje grunn til å la ein delt løyndom sirkulere.

Ein administrert teneste som verkeleg støttar fleire einingar per abonnement, vil seie det og utferde separate legitimasjonar frå sitt eige grensesnitt. Manuell duplisering av eitt profil er aldri den modellen, sjølv når merkevara til tenesta antydar ubegrensa einingar.

Test begge einingane kvar for seg og saman

Stadfest kvar eining for seg først: handtrykk, overføringsteljarar som flyttar seg, og ein destinasjon som berre tunnelen kan nå. Køyr deretter begge samtidig og sjå korleis serveren oppfattar endepunkta; to ulike nøklar bør gje to stabile peer-oppføringar i staden for éi som hoppar.

Oppbevar dei nye offentlege nøklane saman med distribusjonsnotata og noter kva eining som har kva. Utan den lista gjer den neste personen som kopierer eit profil, den same feilen om att, og dei vekslande handtrykka vil igjen bli lagde på nettverket.