Soukromý klíč zde, veřejný klíč tam: klíče WireGuardu
Váš soukromý klíč zůstává na vašem zařízení; položka protějšku drží veřejný klíč druhé strany. Sdílejte jen veřejnou polovinu a každému zařízení dejte vlastní identitu.
Většina ručně sestavených selhání WireGuardu se scvrkává na to, který klíč kam patří. Sekce rozhraní nese soukromý klíč zařízení, které konfigurujete, zatímco sekce protějšku nese veřejný klíč stroje na druhém konci. Záměna těchto polovin nebo vložení té špatné vytvoří handshake, který se nikdy nedokončí, a log, který nikdy nepojmenuje klíč. Projděte čtyři kontroly níže v pořadí, než se dotknete AllowedIPs nebo DNS.
Dva klíče, dva směry
Soukromý klíč patří právě jednomu zařízení a zůstává v sekci rozhraní tohoto zařízení. Jeho veřejná polovina je to, co každý další protějšek potřebuje, aby zařízení rozpoznal, a nástroje ji odvozují, místo aby si ji vymýšlely. Na serveru se veřejný klíč vašeho zařízení objevuje jako položka protějšku; na vašem zařízení tuto roli drží veřejný klíč serveru. Čtení konfigurace nahlas v těchto pojmech zachytí většinu záměn dřív, než dojdou k handshake.
Příkaz wg vypíše, co místní rozhraní skutečně používá, včetně obou veřejných klíčů. Díky tomu je nejrychlejší cestou, jak oddělit chybu konfigurace od problému s připojením:
wg show
wg show interfacesPrvní výstup vypisuje každý protějšek s jeho veřejným klíčem, koncovým bodem, který naposledy použil, a stářím posledního handshake. Stáří handshake „nikdy“ na jedné straně a nedávné na druhé ukazuje na klíč, který přijal jen jeden konec. Druhý příkaz pojmenuje rozhraní, která můžete dál zkoumat.
Co sdílet a co nikdy nesdílet
Veřejný klíč je určen k předání, i když stále identifikuje vztah zařízení, a proto se jeho odeslání administrátorovi, který o něj požádal, liší od jeho zveřejnění. Soukromý klíč nikdy neopustí zařízení, které ho vytvořilo. Exportovaný profil nebo QR kód obsahuje celou konfiguraci včetně tohoto soukromého klíče, takže ani jedno není bezpečné předávat dál, a schování textu do obrázku nic nemění. Předem sdílené klíče jsou volitelné a stejně tajné a oba konce musí mít stejnou hodnotu, jinak se handshake v tom kroku zastaví.
Ještě jeden rozdíl stojí za to říct otevřeně: koncový bod je adresa a port, nikdy klíč. Vložení veřejného klíče do pole koncového bodu nebo adresy do pole klíče vytvoří profil, který se naparsuje a potom nic nedělá. Nástroje to nezachytí, protože obě pole jsou jen řetězce. Rychlý start WireGuardu ukazuje linku generování a odvozování na jednom řádku.
Jedno zařízení, jedna položka protějšku
Kde to služba dovolí, má každé zařízení nést vlastní identitu protějšku. Vložení kompletního profilu notebooku do telefonu rozmazává, které zařízení tuto identitu na serveru drží, a činí odvolání jednoho ztraceného telefonu obtížnějším. Pokud soukromý klíč unikne, odstraňte na serveru staré oprávnění protějšku a zajistěte náhradu. Smazání místního souboru položku serveru neodstraní a nový klientský klíč nikomu nepomůže, dokud server nezná jeho veřejnou polovinu.
Držte mapování zařízení na veřejný klíč vedle seznamu adres. Právě ten seznam dělá z odvolání dvouminutový úkol místo celého odpoledne.
Co stále selhává po handshake
Páry klíčů identifikují protějšky; nerozhodují o chování sítě. AllowedIPs přiřazuje rozsahy adres protějšku a trasy kolem toho spravuje klient nebo nástroj pro nastavení. Symptom obvykle řekne, kterou vrstvu otevřít dál:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS může selhat poté, co se oba protějšky správně autentizují, a aplikace může selhat, zatímco tunel sám je zdravý, takže fungující handshake není konec diagnostiky. Klíče také nic neříkají o tom, jak operátor loguje, ani o tom, zda vás nějaký web pozná podle účtu, a tyto otázky patří jinam. Přesuňte se k síťovým vrstvám, jakmile čtyři kontroly projdou, protože chybějící klíč není maskovaný problém směrování.