Kinopyang WireGuard profile: bakit nabibigo ang dalawang device

Gumana ang tunnel sa laptop, kaya kinopya ang config file sa telepono at tablet, at ngayon pumapasok at lumalabas ang mga handshake sa tatlo. Walang naipasok na mali at hindi na-edit ang configuration ng server. Ang WireGuard profile ay hindi account na may password na maaaring gamitin ng maraming device; ito ay pares ng key, at ang pampublikong kalahati lamang ang nagbibigay ng pagkakakilanlan sa isang peer. Ang pagkopya ng file ay pagkopya ng pagkakakilanlan, kaya sinusubukan ngayon ng server na panatilihin ang isang relasyon ng endpoint para sa maraming device na lahat ay nagsasabing sila ay pareho. Sa panig ng server ay walang pangalawang device na mapapansin, peer lamang na palipat-lipat ang address.

Magsimula sa handshake log sa bawat device

Buksan ang client sa bawat device at itala ang oras ng huling handshake at ang kasalukuyang endpoint bago magbago ng anuman. Sa maayos na setup, stable ang mga halagang iyon habang ginagamit ang device; sa nadobleng pagkakakilanlan ay nagpapalitan ang mga timestamp, at ang endpoint na naitala sa server ay maaaring maglarawan ng ibang device kaysa sa may hawak ng profile. Ang pagpapalit na iyon ang pirma, at ipinapaliwanag nito kung bakit mukhang hindi stable na koneksyon ang sintomas at hindi error sa configuration. Hindi sira ang mga device; nag-iistorbo sila sa isa't isa.

Gawin ang pagbasa sa mismong mga device, para ang bawat obserbasyon ay nakakabit sa tiyak na makina. Ang timestamp na kinopya mula sa chat ng suporta ay nawawala ang kabit na iyon at pagkatapos ay maliit na lamang ang halaga.

Kumpirmahin kung may pinagsasaluhang isang pagkakakilanlan ang dalawang device

Ihambing ang mga pampublikong key, hindi kailanman ang mga pribado. Ang pampublikong key ay hinango mula sa pribadong key, kaya dalawang profile na may parehong pribadong key ay gumagawa ng parehong pampublikong key at hindi matukoy ng server. Kung dalawang device ang nag-uulat ng parehong pampublikong key, tapos na ang usapin at walang pagsasaayos ng keepalive ang makakatulong. Dalawang magkaibang key na may hindi stable na handshake ay tumuturo sa ibang lugar, kaya dapat mauna ang paghahambing bago ang anumang pagbabago.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Ang mga command na ito ay nagpi-print lamang ng pampublikong materyal at counter, at iyon lang ang kailangan ng usapan sa suporta. Ang entry ng peer sa server na may isang pampublikong key at endpoint na patuloy na gumagalaw sa pagitan ng dalawang network ay ang inaasahang resulta ng pagkopya, dahil ang authenticated na packet mula sa bagong pinagmulan ay nag-a-update kung saan ipinapadala ang trapiko. Ang pag-uugaling iyon ay ang protocol na gumagana ayon sa disenyo, kaya napakadaling mapagkamalang sira ng network.

Maglaan ng pangalawang pagkakakilanlan nang tama

Gumawa ng bagong pares ng key sa device na nangangailangan, pagkatapos ay idagdag ang resultang pampublikong key sa server bilang hiwalay na peer na may sariling pinapayagang address. Ang pribadong key ay dapat gawin sa device at manatili doon; ang key na ginawa sa ibang lugar at idinikit ay dumaan sa hindi bababa sa isang karagdagang lugar, at ang paglalakbay na iyon ay bahagi na ngayon ng kuwento ng pagtitiwala.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Kailangan ng panig ng server ang pampublikong key at pagtatalaga ng pinapayagang address na hindi tumatama sa orihinal na device. Ang profile na nagpapanatili ng lumang address ng tunnel habang nagpapakita ng bagong key ay gumagawa ng peer na maaaring tanggapin ng server at pagkatapos ay mali ang pagruruta, na isang mas banayad na pagpalya kaysa sa tinanggihang handshake. Suriin ang pagtatalaga ng address bago kumonekta, hindi pagkatapos ng unang nakalilitong pagkawala ng packet.

Iretiro ang doble nang hindi sinisira ang orihinal

Kapag gumana na ang bagong pagkakakilanlan, alisin ang kinopyang profile mula sa paligid ng orihinal na device sa halip na burahin ang entry sa server na ginagamit pa ng orihinal. Kung ang kopya ay maaaring naiba, bawiin ito agad at pagkatapos ay maglabas muli; ang kaginhawahan ay hindi dahilan para iwanang umiikot ang pinagsasaluhang lihim.

Ang managed service na tunay na sumusuporta ng maraming device bawat subscription ay magsasabi nito at maglalabas ng hiwalay na kredensyal mula sa sarili nitong interface. Ang manu-manong pagkopya ng isang profile ay hindi kailanman ang modelong iyon, kahit na ang tatak ng serbisyo ay nagpapahiwatig ng walang limitasyong device.

Subukan ang dalawang device nang hiwalay at nang sabay

I-verify muna ang bawat device nang mag-isa: handshake, gumagalaw na counter ng transfer, at destinasyon na ang tunnel lamang ang nakakaabot. Pagkatapos ay patakbuhin ang dalawa nang sabay at obserbahan kung paano nakikita ng server ang mga endpoint; dalawang magkaibang key ang dapat gumawa ng dalawang stable na entry ng peer sa halip na isang tumatalon.

Itago ang mga bagong pampublikong key kasama ng mga tala sa deployment at itala kung aling device ang may hawak ng alin. Kung wala ang listahang iyon, uulitin ng susunod na taong kumopya ng profile ang parehong pagpalya, at ang nagpapalitang handshake ay sisisihin muli sa network.