Privaatvõti siin, avalik võti seal: WireGuardi võtmed
Sinu privaatvõti jääb sinu seadmesse; peer-kirje hoiab teise poole avalikku võtit. Jaga ainult avalikku poolt ja anna igale seadmele oma identiteet.
Enamik käsitsi kokku pandud WireGuardi tõrkeid taandub sellele, milline võti kuhu sattus. Liidese sektsioon kannab seadme, mida sa seadistad, privaatvõtit, samal ajal kui peer-sektsioon kannab teises otsas oleva masina avalikku võtit. Nende poolte vahetamine või vale poole kleepimine annab handshaki, mis ei lõpe kunagi, ja logi, mis ei nimeta kunagi ühtegi võtit. Enne AllowedIPs-i või DNS-i puutumist tee allolevad neli kontrolli järjekorras.
Kaks võtit, kaks suunda
Privaatvõti kuulub täpselt ühele seadmele ja jääb selle seadme liidese sektsiooni. Selle avalik pool on see, mida iga teine peer vajab seadme tuvastamiseks, ja tööriistad tuletavad selle, selle asemel et seda välja mõelda. Serveris kuvatakse sinu seadme avalik võti peer-kirjena; sinu seadmes täidab seda rolli serveri avalik võti. Konfiguratsiooni nende terminitega valjusti lugemine püüab enamiku segadustest enne, kui need handshakini jõuavad.
Käsk wg trükib välja, mida kohalik liides tegelikult kasutab, sealhulgas mõlemad avalikud võtmed. See teeb sellest kiireima viisi eraldada seadistusviga ühenduvusprobleemist:
wg show
wg show interfacesEsimene väljund loetleb iga peeri koos selle avaliku võtmega, viimati kasutatud lõpp-punkti ja viimase handshaki vanusega. Handshaki vanus «mitte kunagi» ühes otsas ja hiljutine teises osutab võtmele, mille võttis vastu ainult üks ots. Teine käsk nimetab liidesed, mida saad edasi uurida.
Mida jagada ja mida mitte kunagi
Avalik võti on mõeldud üleandmiseks, kuigi see identifitseerib endiselt seadmete suhet, mistõttu selle saatmine administraatorile, kes seda küsis, erineb selle avaldamisest. Privaatvõti ei lahku kunagi seadmest, mis selle genereeris. Eksporditud profiil või QR-kood hoiab kogu konfiguratsiooni, sealhulgas seda privaatvõtit, nii et kumbki ei ole ohutu edasisaatmiseks, ja teksti pildi sisse peitmine ei muuda midagi. Eelnevalt jagatud võtmed on valikulised ja sama salajased, ning mõlemas otsas peab olema sama väärtus, muidu handshak peatub sellel etapil.
Veel üks eristus tasub otse välja öelda: lõpp-punkt on aadress ja port, mitte kunagi võti. Avaliku võtme kleepimine lõpp-punkti väljale või aadressi võtmeväljale annab profiili, mis parsitakse ja siis ei tee midagi. Tööriistad ei püüa seda, sest mõlemad väljad on lihtsalt stringid. WireGuardi kiirstart näitab genereerimise ja tuletamise ahelat ühel real.
Üks seade, üks peer-kirje
Kus teenus seda lubab, peaks igal seadmel olema oma peer-identiteet. Sülearvuti täieliku profiili kleepimine telefoni hägustab, milline seade seda identiteeti serveris hoiab, ja teeb ühe kadunud telefoni tühistamise raskemaks. Kui privaatvõti lekib, eemalda serveris vana peer-volitus ja hankige asendus. Kohaliku faili kustutamine ei eemalda serveri kirjet, ja uus kliendivõti ei aita kedagi enne, kui server teab selle avalikku poolt.
Hoia seadme ja avaliku võtme vastavust aadresside nimekirja kõrval. Just see nimekiri muudab tühistamise kaheminutiliseks tööks terve pärastlõuna asemel.
Mis pärast handshaki ikka veel ebaõnnestub
Võtmepaarid identifitseerivad peere; need ei otsusta võrgu käitumist. AllowedIPs seob aadressivahemikud peeriga, ja marsruute selle ümber haldab klient või seadistustööriist. Sümptom ütleb tavaliselt, millist kihti järgmisena avada:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS võib ebaõnnestuda pärast seda, kui mõlemad peerid on õigesti autentinud, ja rakendus võib ebaõnnestuda siis, kui tunnel ise on terve, nii et töötav handshak ei ole diagnoosi lõpp. Võtmed ei ütle midagi ka operaatori logimistava ega selle kohta, kas veebileht tunneb sinu kontot, ja need küsimused kuuluvad mujale. Liigu võrgukihtide juurde, kui neli kontrolli on läbitud, sest puuduv võti ei ole maskeeritud marsruutimisprobleem.