Profil WireGuard copiat: de ce eșuează ambele dispozitive

Tunelul funcționa pe laptop, așa că fișierul de configurare a ajuns pe telefon și pe tabletă, iar acum handshake-urile vin și pleacă pe toate trei. Nimic nu a fost tastat greșit și configurația serverului nu a fost editată. Un profil WireGuard nu este un cont cu parolă pe care îl pot folosi mai multe dispozitive; este o pereche de chei, iar doar jumătatea publică identifică un peer. Copierea fișierului copiază identitatea, așa că serverul încearcă acum să mențină o singură relație de endpoint pentru mai multe dispozitive care toate susțin că sunt același. Din partea serverului nu există un al doilea dispozitiv de observat, doar un peer a cărui adresă se tot mută.

Începeți cu jurnalul de handshake de pe fiecare dispozitiv

Deschideți clientul pe fiecare dispozitiv și notați ora ultimului handshake și endpointul curent înainte de a schimba ceva. Într-o configurație sănătoasă acele valori rămân stabile cât timp dispozitivul este folosit; cu o identitate duplicată marcajele de timp alternează, iar endpointul înregistrat pe server poate descrie un alt dispozitiv decât cel care deține profilul. Această alternanță este semnătura și explică de ce simptomul arată ca o conectivitate instabilă și nu ca o eroare de configurare. Dispozitivele nu sunt stricate; se întrerup reciproc.

Faceți citirea pe dispozitivele înseși, astfel încât fiecare observație să fie legată de o mașină anume. Un marcaj de timp copiat dintr-un chat de suport pierde acea legătură și valorează apoi foarte puțin.

Confirmați dacă două dispozitive împart o singură identitate

Comparați cheile publice, niciodată cele private. Cheia publică este derivată din cea privată, deci două profiluri cu aceeași cheie privată produc aceeași cheie publică și sunt indistinguibile pentru server. Dacă două dispozitive raportează aceeași cheie publică, întrebarea este lămurită și nicio ajustare keepalive nu va ajuta. Două chei diferite cu handshake-uri instabile indică cu totul altceva, de aceea comparația trebuie să vină înaintea oricărei modificări.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Aceste comenzi afișează doar material public și contoare, și este tot ce are nevoie o conversație de suport. O intrare de peer pe server cu o singură cheie publică și un endpoint care se tot mută între două rețele este rezultatul așteptat al duplicării, pentru că un pachet autentificat dintr-o sursă nouă actualizează unde este trimis traficul. Acel comportament este protocolul funcționând conform proiectării, de aceea este atât de ușor confundat cu o defecțiune de rețea.

Furnizați corect o a doua identitate

Generați o pereche nouă de chei pe dispozitivul care are nevoie, apoi adăugați cheia publică rezultată la server ca peer separat, cu propriile adrese permise. Cheia privată ar trebui creată pe dispozitiv și păstrată acolo; o cheie generată în altă parte și lipită a trecut prin cel puțin un loc suplimentar, iar acea călătorie face acum parte din povestea încrederii.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Partea serverului are nevoie de cheia publică plus o alocare de adresă permisă care să nu intre în conflict cu dispozitivul original. Un profil care păstrează adresa veche a tunelului dar prezintă o cheie nouă produce un peer pe care serverul îl poate accepta și apoi îl poate ruta greșit, ceea ce este o defecțiune mai subtilă decât un handshake refuzat. Verificați alocarea adresei înainte de conectare, nu după prima pierdere de pachete derutantă.

Retrageți duplicatul fără a rupe originalul

Odată ce noua identitate funcționează, scoateți profilul copiat din vecinătatea dispozitivului original în loc să ștergeți intrarea de server pe care originalul o mai folosește. Dacă copia ar fi putut fi expusă, revocați-o imediat și apoi reemiteți; confortul nu este un motiv să lăsați un secret partajat în circulație.

Un serviciu administrat care chiar acceptă mai multe dispozitive pe abonament vă va spune acest lucru și va emite acreditări separate din propria interfață. Duplicarea manuală a unui profil nu este niciodată acel model, chiar dacă marca serviciului sugerează dispozitive nelimitate.

Testați ambele dispozitive separat și împreună

Verificați mai întâi fiecare dispozitiv singur: handshake, contoare de transfer în mișcare și o destinație la care ajunge doar tunelul. Apoi rulați ambele simultan și urmăriți cum vede serverul endpointurile; două chei distincte ar trebui să producă două intrări de peer stabile, nu una care sare.

Păstrați cheile publice noi împreună cu notele de implementare și notați ce dispozitiv are care. Fără acea listă, următoarea persoană care copiază un profil va repeta aceeași defecțiune, iar handshake-urile alternante vor fi din nou puse pe seama rețelei.