Şəxsi açar burada, açıq açar orada: WireGuard açarları
Şəxsi açarınız cihazınızda qalır; peer qeydi qarşı tərəfin açıq açarını saxlayır. Yalnız açıq yarısını paylaşın və hər cihaza öz kimliyini verin.
Əl ilə qurulan WireGuard uğursuzluqlarının çoxu hansı açarın hara getdiyindən qaynaqlanır. İnterfeys bölməsi konfiqurasiya etdiyiniz cihazın şəxsi açarını daşıyır, peer bölməsi isə digər tərəfdəki maşının açıq açarını daşıyır. Bu yarıları dəyişmək və ya səhv olanı yapışdırmaq heç vaxt tamamlanmayan əl sıxışma və heç vaxt açar adlandırmayan jurnal yaradır. AllowedIPs və ya DNS-ə toxunmazdan əvvəl aşağıdakı dörd yoxlamanı sıra ilə yerinə yetirin.
İki açar, iki istiqamət
Şəxsi açar yalnız bir cihaza aiddir və həmin cihazın interfeys bölməsində qalır. Onun açıq yarısı digər hər bir peer-in cihazı tanıması üçün lazım olan şeydir və alətlər onu uydurmur, sadəcə törədir. Serverdə cihazınızın açıq açarı peer qeydi kimi görünür, cihazınızda isə serverin açıq açarı bu rolu tutur. Konfiqurasiyanı bu terminlərlə ucadan oxumaq qarışıqlıqların çoxunu əl sıxışmaya çatmamış tutur.
wg əmri yerli interfeysin həqiqətən istifadə etdiyi şeyi, o cümlədən hər iki açıq açarı çap edir. Bu, konfiqurasiya səhvini bağlantı xətasından ayırmağın ən sürətli yoludur:
wg show
wg show interfacesBirinci çıxış hər peer-i açıq açarı, son istifadə etdiyi son nöqtə və son əl sıxışmasının yaşı ilə birlikdə sadalayır. Bir tərəfdə «heç vaxt», digər tərəfdə isə yaxın tarixli əl sıxışma yaşı yalnız bir ucun qəbul etdiyi açara işarə edir. İkinci əmr daha ətraflı yoxlaya biləcəyiniz interfeysləri adlandırır.
Nə paylaşmalı, nə də heç vaxt paylaşmamalı
Açıq açar təhvil verilmək üçündür, baxmayaraq ki o hələ də bir cihaz əlaqəsini müəyyən edir, buna görə onu soruşan administratora göndərmək onu dərc etməkdən fərqlənir. Şəxsi açar onu yaradan cihazdan heç vaxt ayrılmır. İxrac edilmiş profil və ya QR kodu bütün konfiqurasiyanı, o cümlədən həmin şəxsi açarı saxlayır, ona görə heç biri ötürülmək üçün təhlükəsiz deyil və mətni şəklin içində gizlətmək heç nəyi dəyişmir. Əvvəlcədən paylaşılan açarlar istəyə bağlıdır və eyni dərəcədə gizlidir, hər iki tərəf eyni dəyəri daşımalıdır, əks halda əl sıxışma həmin mərhələdə dayanır.
Bir fərqi də açıq demək lazımdır: son nöqtə ünvan və portdur, heç vaxt açar deyil. Açıq açarı son nöqtə sahəsinə, ya da ünvanı açar sahəsinə yapışdırmaq təhlil olunan, sonra isə heç nə etməyən profil yaradır. Alətlər bunu tutmayacaq, çünki hər iki sahə sadəcə sətirdir. WireGuard sürətli başlanğıcı yaratma və törətmə boru xəttini bir sətirdə göstərir.
Bir cihaz, bir peer qeydi
Xidmət buna icazə verdiyi yerlərdə hər cihaz öz peer kimliyini daşımalıdır. Noutbukun tam profilini telefona yapışdırmaq serverdə hansı cihazın bu kimliyi daşıdığını bulanıqlaşdırır və bir itirilmiş telefonun ləğvini çətinləşdirir. Şəxsi açar sızarsa, serverdə köhnə peer icazəsini silin və əvəzedicini təmin edin. Lokal faylı silmək serverin qeydini silmir və yeni müştəri açarı server onun açıq yarısını bilməyənə qədər heç kimə kömək etmir.
Cihazdan açıq açara xəritəni ünvan siyahısının yanında saxlayın. Ləğvi bütöv bir günortadan sonraya deyil, iki dəqiqəlik işə çevirən məhz həmin siyahıdır.
Əl sıxışmadan sonra hələ də nə uğursuz olur
Açar cütləri peer-ləri müəyyən edir; şəbəkə davranışına qərar vermir. AllowedIPs ünvan diapazonlarını peer ilə əlaqələndirir, marşrutları isə onun ətrafında müştəri və ya quraşdırma aləti idarə edir. Simptom adətən hansı qatın növbəti açılacağını deyir:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS hər iki peer düzgün autentifikasiya etdikdən sonra da uğursuz ola bilər və tunel özü sağlam ikən tətbiq də uğursuz ola bilər, yəni işləyən əl sıxışma diaqnostikanın sonu deyil. Açarlar operatorun jurnal praktikası və ya vebsaytın hesabınızı tanıyıb-tanımadığı barədə də heç nə demir və bu suallar başqa yerə aiddir. Dörd yoxlama keçdikdən sonra şəbəkə qatlarına keçin, çünki itkin açar maskalanmış marşrut problemi deyil.