Clau privada aquí, clau pública allà: les claus de WireGuard
La clau privada es queda al vostre dispositiu; l’entrada de parell conté la clau pública de l’altre costat. Compartiu només la meitat pública i doneu a cada dispositiu la seva pròpia identitat.
La majoria de fallades de WireGuard fetes a mà es redueixen a quina clau va anar on. La secció d’interfície porta la clau privada del dispositiu que configureu, mentre que una secció de parell porta la clau pública de la màquina de l’altre extrem. Intercanviar aquestes meitats, o enganxar la incorrecta, produeix un handshake que no s’acaba mai i un registre que no anomena mai cap clau. Feu les quatre comprovacions següents en ordre abans de tocar AllowedIPs o DNS.
Dues claus, dues direccions
Una clau privada pertany exactament a un dispositiu i es queda a la secció d’interfície d’aquest dispositiu. La seva meitat pública és el que qualsevol altre parell necessita per reconèixer el dispositiu, i les eines la deriven en lloc d’inventar-la. Al servidor, la clau pública del vostre dispositiu apareix com una entrada de parell; al vostre dispositiu, la clau pública del servidor té aquest paper. Llegir una configuració en veu alta amb aquests termes atrapa la majoria de confusions abans que arribin a un handshake.
L’ordre wg imprimeix què està fent servir realment la interfície local, incloses les dues claus públiques. Això la converteix en la manera més ràpida de separar un error de configuració d’un problema de connectivitat:
wg show
wg show interfacesLa primera sortida llista cada parell amb la seva clau pública, el punt final que va fer servir per últim cop i l’edat del seu darrer handshake. Una edat de handshake «mai» en un costat i una de recent a l’altre apunten a una clau que només un extrem va acceptar. La segona ordre anomena les interfícies que podeu inspeccionar més a fons.
Què compartir i què no compartir mai
Una clau pública està pensada per lliurar-se, tot i que encara identifica una relació de dispositiu, i per això enviar-la a l’administrador que la va demanar no és el mateix que publicar-la. Una clau privada no surt mai del dispositiu que la va generar. Un perfil exportat o un codi QR conté tota la configuració, inclosa aquesta clau privada, així que cap dels dos no és segur de fer circular, i amagar el text dins d’una imatge no canvia res. Les claus prèviament compartides són opcionals i igual de secretes, i els dos extrems han de portar el mateix valor o el handshake s’atura en aquesta etapa.
Val la pena dir una altra distinció ben clarament: un punt final és una adreça i un port, mai una clau. Enganxar una clau pública al camp del punt final, o una adreça al camp d’una clau, produeix un perfil que es desa i després no fa res. Les eines no ho atraparan, perquè els dos camps són només cadenes. La guia ràpida de WireGuard mostra el circuit de generació i derivació en una línia.
Un dispositiu, una entrada de parell
Allà on el servei ho permet, cada dispositiu ha de portar la seva pròpia identitat de parell. Enganxar el perfil complet d’un portàtil a un telèfon difumina quin dispositiu té aquesta identitat al servidor i fa més difícil revocar un sol auricular perdut. Si una clau privada es filtra, elimineu l’autorització antiga del parell al servidor i proveïu-ne un substitut. Esborrar el fitxer local no elimina l’entrada del servidor, i una clau de client nova no ajuda ningú fins que el servidor no en conegui la meitat pública.
Manteniu la correspondència entre dispositiu i clau pública al costat de la llista d’adreces. Aquesta llista és el que converteix una revocació en una tasca de dos minuts en comptes d’una tarda.
Què encara falla després del handshake
Les parelles de claus identifiquen parells; no decideixen el comportament de la xarxa. AllowedIPs associa rangs d’adreces amb un parell, i el client o l’eina de configuració gestiona les rutes al voltant. El símptoma normalment diu quina capa cal obrir després:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
El DNS pot fallar després que els dos parells s’autentiquin correctament, i una aplicació pot fallar mentre el túnel està sa, així que un handshake que funciona no és el final del diagnòstic. Les claus tampoc no diuen res sobre la pràctica de registre d’un operador ni sobre si un lloc web reconeix el vostre compte, i aquestes preguntes pertanyen a un altre lloc. Passeu a les capes de xarxa quan les quatre comprovacions passin, perquè una clau que falta no és un problema d’encaminament disfressat.