Копирани WireGuard профил: зашто оба уређаја не раде

Тунел је радио на преносном рачунару, па је конфигурациона датотека пребачена на телефон и таблет, и сада руковања долазе и одлазе на сва три. Ништа није погрешно укуцано и конфигурација сервера није мењана. WireGuard профил није налог са лозинком који може да користи више уређаја; то је пар кључева, и само јавна половина идентификује партнера. Копирање датотеке копира идентитет, па сервер сада покушава да одржи једну везу са крајњом тачком за више уређаја који сви тврде да су исти. Са серверске стране нема другог уређаја који би се приметио, само партнер чија се адреса стално помера.

Почните са дневником руковања на сваком уређају

Отворите клијента на сваком уређају и забележите време последњег руковања и тренутну крајњу тачку пре него што било шта промените. У исправном подешавању те вредности остају стабилне док се уређај користи; код дуплираног идентитета временске ознаке се смењују, а крајња тачка забележена на серверу може да описује други уређај од оног који држи профил. Та смена је потпис и објашњава зашто симптом изгледа као нестабилна веза, а не као грешка у конфигурацији. Уређаји нису покварени; они прекидају један другог.

Читајте на самим уређајима, тако да свако запажање буде везано за одређену машину. Временска ознака копирана из разговора са подршком губи ту везу и после вреди веома мало.

Потврдите да ли два уређаја деле један идентитет

Упоређујте јавне кључеве, никада приватне. Јавни кључ се изводи из приватног, па два профила са истим приватним кључем дају исти јавни кључ и за сервер су неразлучиви. Ако два уређаја пријављују исти јавни кључ, питање је решено и никакво подешавање keepalive неће помоћи. Два различита кључа са нестабилним руковањима упућују сасвим другде, зато поређење мора да дође пре било какве промене.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Ове наредбе исписују само јавни материјал и бројаче, а то је све што разговор са подршком треба. Унос партнера на серверу са једним јавним кључем и крајњом тачком која се стално креће између две мреже је очекивани резултат дуплирања, јер аутентификовани пакет са новог извора ажурира камо се саобраћај шаље. Такво понашање је протокол који ради како је пројектован, зато се тако лако замени за мрежни квар.

Обезбедите други идентитет исправно

Генеришите нови пар кључева на уређају коме је потребан, затим додајте добијени јавни кључ на сервер као засебног партнера са сопственим дозвољеним адресама. Приватни кључ треба да настане на уређају и да остане тамо; кључ генерисан другде и убачен прошао је кроз барем једно додатно место, а то путовање је сада део приче о поверењу.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Серверска страна захтева јавни кључ плус доделу дозвољене адресе која се не судара са оригиналним уређајем. Профил који задржава стару адресу тунела, а представља нови кључ, ствара партнера који сервер може да прихвати и затим погрешно усмери, што је суптилнији квар од одбијеног руковања. Проверите доделу адресе пре повезивања, а не после првог збуњујућег губитка пакета.

Повуците дупликат без ломљења оригинала

Када нови идентитет проради, уклоните копирани профил из окружења оригиналног уређаја уместо да бришете серверски унос који оригинал још користи. Ако је копија могла бити изложена, уместо тога је одмах опозовите и затим издајте нову; удобност није разлог да заједничку тајну оставите у оптицају.

Управљана услуга која истински подржава више уређаја по претплати то ће вам рећи и издати засебне акредитиве из сопственог интерфејса. Ручно дуплирање једног профила никада није тај модел, чак и када брендирање услуге сугерише неограничен број уређаја.

Тестирајте оба уређаја одвојено и заједно

Прво проверите сваки уређај сам: руковање, бројачи преноса који се крећу и одредиште до којег стиже само тунел. Затим покрените оба истовремено и гледајте како сервер види крајње тачке; два различита кључа треба да дају два стабилна уноса партнера, а не један који скаче.

Чувајте нове јавне кључеве уз белешке о распоређивању и запишите који уређај држи који. Без тог списка следећа особа која копира профил поновиће исти квар, а смењујућа руковања ће опет бити приписана мрежи.