Privata ŝlosilo ĉi tie, publika ŝlosilo tie: ŝlosiloj de WireGuard
Via privata ŝlosilo restas sur via aparato; la samula enskribo tenas la publikan ŝlosilon de la alia flanko. Kunhavigu nur la publikan duonon, kaj donu al ĉiu aparato sian propran identecon.
Plej multaj fuŝoj ĉe permane konstruitaj WireGuard-agordoj koncernas tion, kiu ŝlosilo iris kien. La interfaca sekcio portas la privatan ŝlosilon de la aparato, kiun vi agordas, dum samula sekcio portas la publikan ŝlosilon de la maŝino ĉe la alia fino. Interŝanĝi tiujn duonojn, aŭ enmeti la malĝustan, produktas manpremon, kiu neniam finiĝas, kaj protokolon, kiu neniam nomas ŝlosilon. Trapasu la kvar kontrolojn sube laŭ ordo antaŭ ol tuŝi AllowedIPs aŭ DNS.
Du ŝlosiloj, du direktoj
Privata ŝlosilo apartenas al ekzakte unu aparato kaj restas en la interfaca sekcio de tiu aparato. Ĝia publika duono estas tio, kion ĉiu alia samulo bezonas por rekoni la aparaton, kaj la iloj derivas ĝin anstataŭ inventi ĝin. Sur la servilo, la publika ŝlosilo de via aparato aperas kiel samula enskribo; sur via aparato, tiu rolo apartenas al la publika ŝlosilo de la servilo. Laŭtlegi agordon per tiuj terminoj kaptas plej multajn konfuzojn antaŭ ol ili atingas manpremon.
La komando wg presas, kion la loka interfaco efektive uzas, inkluzive de ambaŭ publikaj ŝlosiloj. Tio igas ĝin la plej rapida maniero apartigi agordan eraron de konekta problemo:
wg show
wg show interfacesLa unua eligo listigas ĉiun samulon kun ĝia publika ŝlosilo, la finpunkto kiun ĝi laste uzis, kaj la aĝo de ĝia lasta manpremo. Manprema aĝo «neniam» ĉe unu flanko kaj freŝa ĉe la alia indikas ŝlosilon, kiun akceptis nur unu fino. La dua komando nomas la interfacojn, kiujn vi povas pli detale ekzameni.
Kion kunhavigi kaj kion neniam
Publika ŝlosilo estas destinita por transdono, kvankam ĝi ankoraŭ identigas aparatan rilaton, tial sendi ĝin al la administranto, kiu petis ĝin, diferencas de publikigi ĝin. Privata ŝlosilo neniam forlasas la aparaton, kiu generis ĝin. Eksportita profilo aŭ QR-kodo tenas la tutan agordon inkluzive de tiu privata ŝlosilo, do neniu el ili estas sekura por plusendi, kaj kaŝi la tekston en bildo ŝanĝas nenion. Antaŭe kunhavigitaj ŝlosiloj estas laŭvolaj kaj same sekretaj, kaj ambaŭ finoj devas porti la saman valoron, alie la manpremo haltas ĉe tiu stadio.
Ankoraŭ unu distingon indas diri rekte: finpunkto estas adreso kaj pordo, neniam ŝlosilo. Enmeti publikan ŝlosilon en la finpunktan kampon, aŭ adreson en ŝlosilan kampon, kreas profilon, kiu analiziĝas kaj poste faras nenion. La iloj ne kaptos tion, ĉar ambaŭ kampoj estas nur signoĉenoj. La rapida komenco de WireGuard montras la generan kaj derivaĵan ĉenon en unu linio.
Unu aparato, unu samula enskribo
Kie la servo permesas, ĉiu aparato portu sian propran samulan identecon. Enmeti la kompletan profilon de tekkomputilo en telefonon malklarigas, kiu aparato tenas tiun identecon sur la servilo, kaj faras malfacila revoki unu perditan telefonon. Se privata ŝlosilo likas, forigu la malnovan samulan rajtigon sur la servilo kaj provizu anstataŭon. Forigi la lokan dosieron ne forigas la enskribon de la servilo, kaj nova klienta ŝlosilo helpas al neniu, ĝis la servilo konas ĝian publikan duonon.
Tenu la mapon de aparato al publika ŝlosilo apud la adreslisto. Tiu listo estas tio, kio igas revokon tasko de du minutoj anstataŭ posttagmezo.
Kio ankoraŭ fiaskas post la manpremo
Ŝlosilparoj identigas samulojn; ili ne decidas retan konduton. AllowedIPs ligas adresajn intervalojn al samulo, kaj la kliento aŭ agorda ilo administras la itinerajn vojojn ĉirkaŭ tio. La simptomo kutime diras, kiun tavolon malfermi sekve:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS povas fiaski post kiam ambaŭ samuloj ĝuste aŭtentiĝas, kaj aplikaĵo povas fiaski dum la tunelo mem estas sana, do funkcianta manpremo ne estas la fino de la diagnozo. Ŝlosiloj ankaŭ diras nenion pri la registrada praktiko de funkciigisto aŭ pri tio, ĉu retejo rekonas vian konton, kaj tiuj demandoj apartenas aliloke. Transiru al la retaj tavoloj, kiam la kvar kontroloj trapasas, ĉar mankanta ŝlosilo ne estas kaŝita vojiga problemo.