Allwedd breifat yma, allwedd gyhoeddus draw: allweddau WireGuard
Mae eich allwedd breifat yn aros ar eich dyfais; mae cofnod y cymar yn dal allwedd gyhoeddus y ochr arall. Rhannwch yr hanner cyhoeddus yn unig, a rhowch hunaniaeth ei hun i bob dyfais.
Mae rhan fwyaf o fethiannau WireGuard a adeiledir â llaw yn dod i lawr i ba allwedd aeth i ble. Mae adran y rhyngwyneb yn cario allwedd breifat y ddyfais rydych yn ei ffurfweddu, tra bo adran y cymar yn cario allwedd gyhoeddus y peiriant ar y pen arall. Mae cyfnewid y rhannau hynny, neu ludo’r un anghywir, yn cynhyrchu handshake na chwblheir byth a chofnod na enwir allwedd ynddo byth. Gweithiwch drwy’r pedwar gwiriad isod yn eu trefn cyn cyffwrdd ag AllowedIPs na DNS.
Dwy allwedd, dau gyfeiriad
Mae allwedd breifat yn perthyn i un ddyfais yn union ac yn aros yn adran rhyngwyneb y ddyfais honno. Ei hanner cyhoeddus yw’r hyn sydd ei angen ar bob cymar arall er mwyn adnabod y ddyfais, a’r offer sy’n ei deillio yn hytrach na’i ddyfeisio. Ar y gweinydd, mae allwedd gyhoeddus eich dyfais yn ymddangos fel cofnod cymar; ar eich dyfais, allwedd gyhoeddus y gweinydd sy’n dal y rôl honno. Mae darllen ffurfweddiad yn uchel yn y termau hynny yn dal rhan fwyaf o’r cymysgu cyn iddo gyrraedd handshake.
Mae’r gorchymyn wg yn argraffu’r hyn y mae’r rhyngwyneb lleol yn ei ddefnyddio mewn gwirionedd, gan gynnwys y ddwy allwedd gyhoeddus. Dyna sy’n ei wneud y ffordd gyflymaf i wahanu camgymeriad ffurfweddu oddi wrth broblem cysylltedd:
wg show
wg show interfacesMae’r allbwn cyntaf yn rhestru pob cymar gyda’i allwedd gyhoeddus, y pen draw yr oedd yn ei ddefnyddio ddiwethaf, ac oedran ei handshake diwethaf. Mae oedran handshake o «byth» ar un ochr a rhywbeth diweddar ar y llall yn cyfeirio at allwedd nad oedd ond un pen wedi’i derbyn. Mae’r ail orchymyn yn enwi’r rhyngwynebau y gallwch ymchwilio iddynt ymhellach.
Beth i’w rannu a beth i beidio â’i rannu byth
Mae allwedd gyhoeddus i fod i gael ei throsglwyddo, er ei bod yn dal i nodi perthynas dyfais, ac felly mae ei hanfon at y gweinyddwr a ofynnodd amdani yn wahanol i’w chyhoeddi. Nid yw allwedd breifat byth yn gadael y ddyfais a’i cynhyrchodd. Mae proffil wedi’i allforio neu god QR yn dal y ffurfweddiad cyfan gan gynnwys yr allwedd breifat honno, felly nid yw’r naill na’r llall yn ddiogel i’w throsglwyddo o gwmpas, ac nid yw cuddio’r testun mewn delwedd yn newid dim. Mae allweddau a rennir ymlaen llaw yn ddewisol ac yr un mor gyfrinachol, a rhaid i’r ddau ben gario’r un gwerth neu bydd y handshake yn stopio ar y cam hwnnw.
Mae un gwahaniaeth arall yn werth ei ddweud yn blwmp ac yn blaen: cyfeiriad a phorth yw pen draw, byth yn allwedd. Mae ludo allwedd gyhoeddus i faes y pen draw, neu gyfeiriad i faes allwedd, yn cynhyrchu proffil sy’n parsio ac wedyn yn gwneud dim. Ni fydd yr offer yn dal hyn, oherwydd dim ond llinynnau yw’r ddau faes. Mae cyflymder cychwyn WireGuard yn dangos y biblinell gynhyrchu a deillio mewn un llinell.
Un ddyfais, un cofnod cymar
Lle mae’r gwasanaeth yn caniatáu, dylai pob dyfais gario ei hunaniaeth cymar ei hun. Mae ludo proffil cyflawn gliniadur ar ffôn yn niwlio pa ddyfais sy’n dal yr hunaniaeth honno ar y gweinydd ac yn gwneud dirymu un ffôn coll yn anos. Os yw allwedd breifat yn gollwng, tynnwch yr hen awdurdodiad cymar ar y gweinydd a darparwch un arall yn ei le. Nid yw dileu’r ffeil leol yn tynnu cofnod y gweinydd, ac nid yw allwedd cleient newydd yn helpu neb nes bod y gweinydd yn gwybod ei hanner cyhoeddus.
Cadwch y mapio o ddyfais i allwedd gyhoeddus wrth ymyl y rhestr cyfeiriadau. Y rhestr honno sy’n troi dirymiad yn dasg dau funud yn lle prynhawn cyfan.
Beth sy’n dal i fethu ar ôl y handshake
Mae parau allwedd yn adnabod cymheiriaid; nid ydynt yn penderfynu ymddygiad rhwydwaith. Mae AllowedIPs yn cysylltu ystodau cyfeiriadau â chymar, ac mae’r cleient neu’r offeryn gosod yn rheoli’r llwybrau o’i gwmpas. Mae’r symptom fel arfer yn dweud pa haen i’w hagor nesaf:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
Gall DNS fethu ar ôl i’r ddau gymar uwchadweithio’n gywir, a gall cymhwysiad fethu tra bo’r twnnel ei hun yn iach, felly nid yw handshake sy’n gweithio yn ddiwedd y diagnosis. Nid yw allweddau’n dweud dim ychwaith am arfer logio gweithredwr nac am a yw gwefan yn adnabod eich cyfrif, ac mae’r cwestiynau hynny yn perthyn i rywle arall. Symudwch i’r haenau rhwydwaith unwaith y bydd y pedwar gwiriad yn pasio, oherwydd nid yw allwedd ar goll yn broblem llwybreiddio wedi’i chuddio.