Kopiran profil WireGuard: zakaj obe napravi odpovedujeta

Tunel je deloval na prenosniku, zato je konfiguracijska datoteka prešla na telefon in tablico, zdaj pa rokovanja na vseh treh prihajajo in odhajajo. Nič ni bilo napačno vtipkano in konfiguracija strežnika ni bila urejena. Profil WireGuard ni račun z geslom, ki bi ga lahko uporabljalo več naprav; to je par ključev in samo javna polovica identificira partnerja. Kopiranje datoteke kopira identiteto, zato strežnik zdaj poskuša ohraniti en odnos končne točke za več naprav, ki vse trdijo, da so iste. S strani strežnika ni druge naprave, ki bi jo bilo mogoče opaziti, le partner, katerega naslov se nenehno premika.

Začnite z dnevnikom rokovanja na vsaki napravi

Odprite odjemalca na vsaki napravi in pred kakršno koli spremembo zabeležite čas zadnjega rokovanja in trenutno končno točko. V zdravem okolju te vrednosti ostanejo stabilne, dokler je naprava v uporabi; pri podvojeni identiteti se časovni žigi izmenjujejo, končna točka, zabeležena na strežniku, pa lahko opisuje drugo napravo od tiste, ki ima profil. Prav to izmenjavanje je podpis in pojasnjuje, zakaj je simptom videti kot nestabilna povezava in ne kot napaka v konfiguraciji. Naprave niso pokvarjene; prekinjajo ena drugi.

Branje opravite na samih napravah, da bo vsako opažanje vezano na določen stroj. Časovni žig, kopiran iz klepeta s podporo, izgubi to vez in je pozneje zelo malo vreden.

Potrdite, ali si dve napravi delita eno identiteto

Primerjajte javne ključe, nikoli zasebnih. Javni ključ se izpelje iz zasebnega, zato dva profila z istim zasebnim ključem ustvarita isti javni ključ in sta za strežnik nerazločljiva. Če dve napravi poročata isti javni ključ, je vprašanje rešeno in nobeno uglaševanje keepalive ne bo pomagalo. Dva različna ključa z nestabilnimi rokovanji kažeta povsem drugam, zato mora primerjava priti pred vsako spremembo.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Ti ukazi izpisujejo le javno gradivo in števce, to pa je vse, kar pogovor s podporo potrebuje. Vnos partnerja na strežniku z enim javnim ključem in končno točko, ki se nenehno premika med dvema omrežjema, je pričakovani rezultat podvajanja, ker overjen paket z novega vira posodobi, kam se promet pošilja. Takšno vedenje je protokol, ki deluje po načrtu, zato ga je tako lahko zamenjati z omrežno okvaro.

Pravilno zagotovite drugo identiteto

Ustvarite nov par ključev na napravi, ki ga potrebuje, nato dodajte dobljeni javni ključ na strežnik kot ločenega partnerja z lastnimi dovoljenimi naslovi. Zasebni ključ naj nastane na napravi in tam ostane; ključ, ustvarjen drugje in prilepljen, je šel skozi vsaj eno dodatno mesto, in ta pot je zdaj del zgodbe o zaupanju.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Stran strežnika potrebuje javni ključ in dodelitev dovoljenega naslova, ki ne trči ob prvotno napravo. Profil, ki ohranja stari naslov tunela, a predstavlja nov ključ, ustvari partnerja, ki ga strežnik lahko sprejme in nato usmeri napačno, kar je bolj subtilna okvara kot zavrnjeno rokovanje. Preverite dodelitev naslova pred povezavo, ne po prvi zmedeni izgubi paketov.

Umaknite dvojnik, ne da bi zlomili izvirnik

Ko nova identiteta deluje, odstranite kopiran profil iz okolice prvotne naprave, namesto da izbrišete vnos na strežniku, ki ga izvirnik še uporablja. Če je bila kopija morda izpostavljena, jo raje takoj prekličite in nato izdajte novo; udobje ni razlog, da skupno skrivnost pustite v obtoku.

Upravljana storitev, ki resnično podpira več naprav na naročnino, vam bo to povedala in izdala ločene poverilnice iz svojega vmesnika. Ročno podvajanje enega profila nikoli ni ta model, tudi ko blagovna znamka storitve nakazuje neomejeno število naprav.

Preizkusite obe napravi ločeno in skupaj

Najprej preverite vsako napravo samo: rokovanje, premikajoči se števci prenosa in cilj, do katerega seže le tunel. Nato zaženite obe hkrati in opazujte, kako strežnik vidi končne točke; dva različna ključa bi morala dati dva stabilna vnosa partnerjev, ne enega, ki skače.

Nove javne ključe hranite skupaj z opombami o uvajanju in zabeležite, katera naprava ima katerega. Brez tega seznama bo naslednja oseba, ki kopira profil, ponovila isto napako, izmenjujoča rokovanja pa bodo znova pripisana omrežju.