Kopyalanan WireGuard profili: iki cihaz da neden başarısız oluyor

Tünel dizüstü bilgisayarda çalışıyordu, bu yüzden yapılandırma dosyası telefona ve tablete kopyalandı ve şimdi el sıkışmalar üçünde de gelip gidiyor. Hiçbir şey yanlış yazılmadı ve sunucu yapılandırması düzenlenmedi. WireGuard profili birden fazla cihazın kullanabileceği parolalı bir hesap değildir; bir anahtar çiftidir ve bir eşi tanımlayan tek şey genel yarısıdır. Dosyayı kopyalamak kimliği kopyalar, bu yüzden sunucu artık hepsi aynı olduğunu iddia eden birkaç cihaz için tek bir uç nokta ilişkisi sürdürmeye çalışıyor. Sunucu tarafından fark edilecek ikinci bir cihaz yok, yalnızca adresi sürekli hareket eden bir eş var.

Her cihazdaki el sıkışma kaydıyla başlayın

Her cihazda istemciyi açın ve herhangi bir şeyi değiştirmeden önce son el sıkışma zamanını ve geçerli uç noktayı kaydedin. Sağlıklı bir kurulumda bu değerler cihaz kullanıldığı sürece kararlı kalır; kopyalanmış bir kimlikte zaman damgaları sırayla değişir ve sunucuda kayıtlı uç nokta, profili tutan cihazdan farklı bir cihazı tanımlayabilir. Bu sıralı değişim imzadır ve belirtinin neden yapılandırma hatası değil de tutarsız bağlantı gibi göründüğünü açıklar. Cihazlar bozuk değil; birbirlerini kesiyorlar.

Okumayı cihazların kendisinde yapın, böylece her gözlem belirli bir makineye bağlı kalır. Bir destek sohbetinden kopyalanan zaman damgası bu bağı kaybeder ve sonrasında çok az değer taşır.

İki cihazın tek bir kimliği paylaşıp paylaşmadığını doğrulayın

Genel anahtarları karşılaştırın, asla özel anahtarları değil. Genel anahtar özel anahtardan türetilir, bu yüzden aynı özel anahtarı içeren iki profil aynı genel anahtarı üretir ve sunucu için ayırt edilemez. İki cihaz aynı genel anahtarı bildiriyorsa soru çözülmüştür ve hiçbir keepalive ayarı yardımcı olmaz. Kararsız el sıkışmalara sahip iki farklı anahtar tamamen başka bir yeri gösterir, bu yüzden karşılaştırma herhangi bir değişiklikten önce gelmelidir.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Bu komutlar yalnızca genel malzemeyi ve sayaçları yazdırır, bir destek görüşmesinin ihtiyacı olan da budur. Sunucuda tek bir genel anahtar ve iki ağ arasında sürekli hareket eden bir uç nokta içeren eş kaydı, kopyalamanın beklenen sonucudur, çünkü yeni bir kaynaktan gelen kimliği doğrulanmış paket trafiğin nereye gönderildiğini günceller. Bu davranış, tasarlandığı gibi çalışan protokoldür, bu yüzden onu bir ağ arızasıyla karıştırmak çok kolaydır.

İkinci kimliği doğru şekilde sağlayın

İhtiyaç duyan cihazda yeni bir anahtar çifti oluşturun, ardından ortaya çıkan genel anahtarı kendi izin verilen adresleriyle ayrı bir eş olarak sunucuya ekleyin. Özel anahtar cihazda oluşturulmalı ve orada kalmalıdır; başka bir yerde oluşturulup yapıştırılan anahtar en az bir ek yerden geçmiştir ve bu yolculuk artık güven hikâyesinin bir parçasıdır.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Sunucu tarafı genel anahtara ve özgün cihazla çakışmayan bir izin verilen adres atamasına ihtiyaç duyar. Eski tünel adresini korurken yeni bir anahtar sunan profil, sunucunun kabul edip sonra yanlış yönlendirebileceği bir eş üretir; bu, reddedilen bir el sıkışmadan daha ince bir arızadır. Adres atamasını bağlanmadan önce kontrol edin, ilk kafa karıştırıcı paket kaybından sonra değil.

Aslı bozmadan kopyayı devre dışı bırakın

Yeni kimlik çalışmaya başlayınca, kopyalanan profili özgün cihazın çevresinden kaldırın; özgünün hâlâ kullandığı sunucu kaydını silmeyin. Kopya açığa çıkmış olabilecekse bunun yerine derhal iptal edin ve sonra yeniden düzenleyin; kolaylık, paylaşılan bir sırrı dolaşımda bırakmanın gerekçesi değildir.

Abonelik başına gerçekten birkaç cihazı destekleyen yönetilen bir hizmet bunu size söyler ve kendi arayüzünden ayrı kimlik bilgileri verir. Tek bir profilin elle kopyalanması asla o model değildir, hizmetin markası sınırsız cihaz ima etse bile.

İki cihazı ayrı ayrı ve birlikte test edin

Önce her cihazı tek başına doğrulayın: el sıkışma, hareket eden aktarım sayaçları ve yalnızca tünelin ulaşabildiği bir hedef. Sonra ikisini aynı anda çalıştırın ve sunucunun uç noktaları nasıl gördüğünü izleyin; iki farklı anahtar zıplayan tek bir kayıt yerine iki kararlı eş kaydı üretmelidir.

Yeni genel anahtarları dağıtım notlarıyla birlikte saklayın ve hangi cihazın hangisini tuttuğunu kaydedin. Bu liste olmadan profili kopyalayan sonraki kişi aynı arızayı tekrarlar ve sırayla değişen el sıkışmalar yine ağın suçu olur.