Skopírovaný profil WireGuard: prečo zlyhajú obe zariadenia

Tunel fungoval na notebooku, takže sa konfiguračný súbor preniesol do telefónu a tabletu, a teraz handshaky na všetkých troch prichádzajú a odchádzajú. Nič nebolo prepísané a konfigurácia servera nebola upravená. Profil WireGuard nie je účet s heslom, ktorý môže používať niekoľko zariadení; je to pár kľúčov a iba verejná polovica identifikuje partnera. Kopírovanie súboru kopíruje identitu, takže server sa teraz snaží udržať jeden vzťah koncového bodu pre niekoľko zariadení, ktoré všetky tvrdia, že sú rovnaké. Zo strany servera nie je žiadne druhé zariadenie, ktoré by si bolo možné všimnúť, len partner, ktorého adresa sa neustále mení.

Začnite logom handshake na každom zariadení

Otvorte klienta na každom zariadení a pred akoukoľvek zmenou si poznačte čas posledného handshaku a aktuálny koncový bod. V zdravom nastavení tieto hodnoty zostávajú stabilné, kým sa zariadenie používa; pri duplikovanej identite sa časové pečiatky striedajú a koncový bod zaznamenaný na serveri môže opisovať iné zariadenie než to, ktoré má profil. Práve to striedanie je podpisom a vysvetľuje, prečo symptóm vyzerá ako nestabilné pripojenie a nie ako chyba konfigurácie. Zariadenia nie sú pokazené; navzájom sa prerušujú.

Čítajte priamo na zariadeniach, aby bolo každé pozorovanie spojené s konkrétnym strojom. Časová pečiatka skopírovaná z podporného chatu túto väzbu stráca a potom má veľmi malú hodnotu.

Potvrďte, či dve zariadenia zdieľajú jednu identitu

Porovnávajte verejné kľúče, nikdy súkromné. Verejný kľúč sa odvodzuje od súkromného, takže dva profily s rovnakým súkromným kľúčom vytvoria rovnaký verejný kľúč a sú pre server nerozoznateľné. Ak dve zariadenia hlásia rovnaký verejný kľúč, otázka je vyriešená a žiadne ladenie keepalive nepomôže. Dva rôzne kľúče s nestabilnými handshakmi ukazujú úplne inam, preto musí porovnanie prísť pred akoukoľvek zmenou.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Tieto príkazy vypisujú iba verejný materiál a počítadlá, a to je všetko, čo podporná konverzácia potrebuje. Záznam partnera na serveri s jedným verejným kľúčom a koncovým bodom, ktorý sa neustále presúva medzi dvoma sieťami, je očakávaným výsledkom duplikácie, pretože overený paket z nového zdroja aktualizuje, kam sa prevádzka odosiela. Také správanie je protokol pracujúci podľa návrhu, a preto je také ľahké si ho pomýliť so sieťovou poruchou.

Vytvorte druhú identitu správne

Vygenerujte nový pár kľúčov na zariadení, ktoré ho potrebuje, a potom pridajte výsledný verejný kľúč na server ako samostatného partnera s vlastnými povolenými adresami. Súkromný kľúč by mal vzniknúť na zariadení a zostať tam; kľúč vygenerovaný inde a vložený prešiel aspoň jedným ďalším miestom a tá cesta je teraz súčasťou príbehu dôvery.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Strana servera potrebuje verejný kľúč plus priradenie povolenej adresy, ktoré nekoliduje s pôvodným zariadením. Profil, ktorý si ponecháva starú adresu tunela, ale predstavuje nový kľúč, vytvára partnera, ktorého server môže prijať a potom nesprávne smerovať, čo je jemnejšie zlyhanie než odmietnutý handshake. Skontrolujte priradenie adresy pred pripojením, nie po prvej mätúcej strate paketov.

Vyraďte duplikát bez zlomenia originálu

Keď nová identita funguje, odstráňte skopírovaný profil z okolia pôvodného zariadenia namiesto vymazania záznamu na serveri, ktorý originál stále používa. Ak mohla byť kópia vystavená, radšej ju okamžite odvolajte a potom vystavte novú; pohodlie nie je dôvod nechávať zdieľané tajomstvo v obehu.

Spravovaná služba, ktorá skutočne podporuje niekoľko zariadení na predplatné, vám to povie a vydá samostatné prihlasovacie údaje zo svojho rozhrania. Ručná duplikácia jedného profilu nikdy nie je týmto modelom, aj keď branding služby naznačuje neobmedzený počet zariadení.

Otestujte obe zariadenia samostatne aj spolu

Najprv overte každé zariadenie samo: handshake, počítadlá prenosu, ktoré sa hýbu, a cieľ, kam sa dostane iba tunel. Potom spustite obe súčasne a sledujte, ako server vidí koncové body; dva odlišné kľúče by mali vytvoriť dva stabilné záznamy partnerov, nie jeden poskakujúci.

Uchovávajte nové verejné kľúče s poznámkami k nasadeniu a zaznamenajte, ktoré zariadenie drží ktorý. Bez tohto zoznamu ďalší človek, ktorý skopíruje profil, zopakuje rovnakú chybu a striedajúce sa handshaky budú znova zvedené na sieť.