Profili WireGuard i kopjuar: pse dështojnë të dy pajisjet

Tuneli funksiononte në laptop, kështu që skedari i konfigurimit kaloi në telefon dhe tablet, dhe tani shtrëngimet e duarve vijnë dhe shkojnë në të tre. Asgjë nuk është shtypur gabim dhe konfigurimi i serverit nuk është redaktuar. Një profil WireGuard nuk është një llogari me fjalëkalim që mund të përdorin disa pajisje; është një palë çelësash, dhe vetëm gjysma publike identifikon një partner. Kopjimi i skedarit kopjon identitetin, prandaj serveri tani përpiqet të mbajë një marrëdhënie të vetme pikë-fundore për disa pajisje që të gjitha pretendojnë se janë e njëjta. Nga ana e serverit nuk ka pajisje të dytë për t'u vënë re, vetëm një partner adresa e të cilit lëviz vazhdimisht.

Filloni me regjistrin e shtrëngimit të duarve në secilën pajisje

Hapni klientin në secilën pajisje dhe shënoni kohën e shtrëngimit të fundit të duarve dhe pikën fundore aktuale përpara se të ndryshoni gjithçka. Në një konfigurim të shëndetshëm këto vlera mbeten të qëndrueshme sa kohë pajisja është në përdorim; me identitet të dubluar vulat kohore ndërrohen, dhe pika fundore e regjistruar në server mund të përshkruajë një pajisje të ndryshme nga ajo që mban profilin. Kjo ndërrim është nënshkrimi, dhe shpjegon pse simptoma duket si lidhje e paqëndrueshme dhe jo si gabim konfigurimi. Pajisjet nuk janë prishur; ato ndërpresin njëra-tjetrën.

Bëjeni leximin në vetë pajisjet, në mënyrë që çdo vëzhgim të jetë i lidhur me një makinë të caktuar. Një vulë kohe e kopjuar nga një bisedë mbështetjeje e humbet këtë lidhje dhe më pas vlen shumë pak.

Konfirmoni nëse dy pajisje ndajnë një identitet

Krahasoni çelësat publikë, kurrë ata privatë. Çelësi publik rrjedh nga ai privat, prandaj dy profile me të njëjtin çelës privat prodhojnë të njëjtin çelës publik dhe janë të padallueshëm për serverin. Nëse dy pajisje raportojnë të njëjtin çelës publik, çështja është zgjidhur dhe asnjë rregullim keepalive nuk do të ndihmojë. Dy çelësa të ndryshëm me shtrëngime duarsh të paqëndrueshme tregojnë diku krejt tjetër, prandaj krahasimi duhet të vijë përpara çdo ndryshimi.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Këto komanda shtypin vetëm material publik dhe numërues, dhe kjo është gjithçka që i nevojitet një bisede mbështetjeje. Një zë partneri në server me një çelës publik dhe një pikë fundore që lëviz vazhdimisht midis dy rrjeteve është rezultati i pritur i dublimit, sepse një paketë e vërtetuar nga një burim i ri përditëson ku dërgohet trafiku. Kjo sjellje është protokolli që punon siç është projektuar, prandaj ngatërrohet kaq lehtë me një defekt rrjeti.

Siguroni saktë një identitet të dytë

Gjeneroni një palë çelësash të re në pajisjen që ka nevojë, më pas shtoni çelësin publik që rezulton në server si partner i veçantë me adresat e tij të lejuara. Çelësi privat duhet të krijohet në pajisje dhe të mbetet atje; një çelës i gjeneruar diku tjetër dhe i ngjitur ka kaluar nëpër të paktën një vend shtesë, dhe ai udhëtim tani është pjesë e historisë së besimit.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Ana e serverit ka nevojë për çelësin publik plus një caktim adrese të lejuar që nuk përplaset me pajisjen origjinale. Një profil që ruan adresën e vjetër të tunelit ndërsa paraqet një çelës të ri prodhon një partner që serveri mund ta pranojë dhe më pas ta drejtojë gabimisht, që është një dështim më i hollë se një shtrëngim duarsh i refuzuar. Kontrolloni caktimin e adresës përpara lidhjes, jo pas humbjes së parë konfuze të paketave.

Tërhiqni dublikatin pa thyer origjinalin

Pasi identiteti i ri të funksionojë, hiqni profilin e kopjuar nga rrethina e pajisjes origjinale në vend që të fshini zërin e serverit që origjinali ende përdor. Nëse kopja mund të jetë ekspozuar, anulojeni menjëherë dhe më pas lëshoni një të re; komoditeti nuk është arsye për të lënë një sekret të përbashkët në qarkullim.

Një shërbim i menaxhuar që vërtet mbështet disa pajisje për abonim do t'ju thotë këtë dhe do të lëshojë kredenciale të veçanta nga ndërfaqja e vet. Dublimi manual i një profili nuk është kurrë ai model, edhe kur marka e shërbimit sugjeron pajisje të pakufizuara.

Testoni të dyja pajisjet veçmas dhe së bashku

Verifikoni fillimisht secilën pajisje veçmas: shtrëngim duarsh, numërues transferimi që lëvizin dhe një destinacion që arrihet vetëm nga tuneli. Më pas ekzekutoni të dyja njëkohësisht dhe vëzhgoni si e sheh serveri pikat fundore; dy çelësa të ndryshëm duhet të prodhojnë dy zëra partneri të qëndrueshëm në vend të një që kërcen.

Mbani çelësat e rinj publikë me shënimet e vendosjes dhe shënoni cila pajisje mban cilën. Pa atë listë, personi tjetër që kopjon një profil do të përsërisë të njëjtin dështim, dhe shtrëngimet e ndërruara të duarve do t'i atribuohen përsëri rrjetit.