Ko‘chirilgan WireGuard profili: nima uchun ikkala qurilma ishlamaydi

Tunnel noutbukda ishlagan, shuning uchun konfiguratsiya fayli telefonga va planshetga ko‘chirildi, endi uchtasida ham qo‘l berishlar kelib-ketmoqda. Hech narsa xato terilmagan va server konfiguratsiyasi tahrirlanmagan. WireGuard profili bir nechta qurilma ishlatishi mumkin bo‘lgan parolli hisob emas; bu kalitlar jufti va faqat ochiq yarmi hamkorini aniqlaydi. Faylni ko‘chirish identifikatsiyani ko‘chirish demakdir, shuning uchun server endi hammasi bir xil deb da’vo qiladigan bir nechta qurilma uchun bitta so‘nggi nuqta munosabatini saqlashga harakat qilmoqda. Server tomonidan e’tibor beradigan ikkinchi qurilma yo‘q, faqat manzili doim o‘zgarib turadigan hamkor bor.

Har bir qurilmadagi qo‘l berish jurnalidan boshlang

Har bir qurilmada klientni oching va biror narsani o‘zgartirishdan oldin oxirgi qo‘l berish vaqti va joriy so‘nggi nuqtani yozib oling. Sog‘lom sozlamada bu qiymatlar qurilma ishlatilayotganda barqaror qoladi; takrorlangan identifikatsiyada vaqt belgilari navbat bilan o‘zgaradi va serverda qayd etilgan so‘nggi nuqta profilga ega qurilmadan boshqa qurilmani tasvirlashi mumkin. Ana shu navbat bilan o‘zgarish imzo bo‘lib, alomat nima uchun konfiguratsiya xatosi emas, beqaror ulanish kabi ko‘rinishini tushuntiradi. Qurilmalar buzilmagan; ular bir-biriga xalaqit bermoqda.

O‘qishni qurilmalarning o‘zida qiling, shunda har bir kuzatuv aniq bir mashinaga bog‘lanadi. Yordam chatidan ko‘chirilgan vaqt belgisi bu bog‘lanishni yo‘qotadi va keyin juda kam qiymatga ega.

Ikki qurilma bitta identifikatsiyani baham ko‘rishini tasdiqlang

Ochiq kalitlarni solishtiring, hech qachon shaxsiy kalitlarni emas. Ochiq kalit shaxsiy kalitdan hosil bo‘ladi, shuning uchun bir xil shaxsiy kalitga ega ikki profil bir xil ochiq kalit beradi va server uchun farqlanmaydi. Agar ikki qurilma bir xil ochiq kalitni xabar qilsa, masala hal bo‘lgan va hech qanday keepalive sozlashi yordam bermaydi. Beqaror qo‘l berishlarga ega ikki xil kalit butunlay boshqa joyga ishora qiladi, shuning uchun solishtirish har qanday o‘zgarishdan oldin bo‘lishi kerak.

wg show wg0 public-key
wg show wg0 latest-handshakes
wg show wg0 endpoints
wg show wg0 transfer

Bu buyruqlar faqat ochiq material va hisoblagichlarni chiqaradi, yordam suhbatiga shu yetarli. Serverda bitta ochiq kalit va ikki tarmoq o‘rtasida doim harakatlanadigan so‘nggi nuqta bilan hamkor yozuvi takrorlashning kutilgan natijasi, chunki yangi manbadan autentifikatsiya qilingan paket trafik qaerga yuborilishini yangilaydi. Bu xatti-harakat protokolning loyihada ko‘rsatilganidek ishlashi, shuning uchun uni tarmoq nosozligi bilan adashtirish juda oson.

Ikkinchi identifikatsiyani to‘g‘ri tayyorlang

Kerakli qurilmada yangi kalitlar juftini yarating, so‘ng olingan ochiq kalitni o‘zining ruxsat etilgan manzillari bilan alohida hamkor sifatida serverga qo‘shing. Shaxsiy kalit qurilmada yaratilishi va o‘sha yerda qolishi kerak; boshqa joyda yaratilib qo‘yilgan kalit kamida bitta ortiqcha joydan o‘tgan va bu sayohat endi ishonch hikoyasining bir qismi.

umask 077
wg genkey > newdevice.key
wg pubkey < newdevice.key

Server tomoniga ochiq kalit va asl qurilma bilan to‘qnashmaydigan ruxsat etilgan manzil tayinlash kerak. Eski tunnel manzilini saqlab, yangi kalitni taqdim etadigan profil server qabul qilib, keyin noto‘g‘ri yo‘naltirishi mumkin bo‘lgan hamkor yaratadi, bu rad etilgan qo‘l berishdan nozikroq nosozlik. Manzil tayinlashni ulanishdan oldin tekshiring, birinchi chalkash paket yo‘qotilishidan keyin emas.

Nusxani asl nusxani buzmasdan bekor qiling

Yangi identifikatsiya ishlagach, ko‘chirilgan profilni asl qurilma atrofidan olib tashlang, asl nusxa hali ishlatayotgan server yozuvini o‘chirmang. Agar nusxa oshkor bo‘lgan bo‘lishi mumkin bo‘lsa, o‘rniga darhol bekor qiling va keyin qayta chiqaring; qulaylik umumiy sirni muomalada qoldirish uchun sabab emas.

Har bir obuna uchun bir nechta qurilmani haqiqatan qo‘llab-quvvatlaydigan boshqariladigan xizmat buni sizga aytadi va o‘z interfeysidan alohida hisob ma’lumotlarini chiqaradi. Bitta profilni qo‘lda ko‘chirish hech qachon o‘sha model emas, xizmat brendi cheksiz qurilmalarni nazarda tutsa ham.

Ikkala qurilmani alohida va birgalikda sinab ko‘ring

Avval har bir qurilmani yakka holda tekshiring: qo‘l berish, harakatlanuvchi uzatish hisoblagichlari va faqat tunnel yetib boradigan manzil. So‘ng ikkalasini bir vaqtda ishga tushiring va server so‘nggi nuqtalarni qanday ko‘rishini kuzating; ikki xil kalit sakrab turadigan bitta yozuv o‘rniga ikkita barqaror hamkor yozuvini berishi kerak.

Yangi ochiq kalitlarni joylashtirish qaydlari bilan birga saqlang va qaysi qurilma qaysinisini ushlab turishini yozib qo‘ying. O‘sha ro‘yxat bo‘lmasa, profilni ko‘chiradigan keyingi odam xuddi shu nosozlikni takrorlaydi va navbat bilan o‘zgaradigan qo‘l berishlar yana tarmoqqa ayb qo‘yiladi.