Gako pribatua hemen, gako publikoa han: WireGuarden gakoak
Zure gako pribatua zure gailuan geratzen da; parearen sarrerak beste aldearen gako publikoa dauka. Partekatu erdi publikoa bakarrik, eta eman gailu bakoitzari bere identitatea.
Eskuz muntatutako WireGuard hutsegite gehienak gako bakoitza non amaitu zen tokiraino murrizten dira. Interfazearen atalak konfiguratzen ari zaren gailuaren gako pribatua darama, eta parearen atalak beste muturreko makinaren gako publikoa. Erdialde horiek trukatzeak, edo okerra itsasteak, inoiz amaitzen ez den handshake bat eta inoiz gakorik aipatzen ez duen erregistro bat sortzen ditu. Egin beheko lau egiaztapenak hurrenez hurren AllowedIPs edo DNS ukitu aurretik.
Bi gako, bi norabide
Gako pribatu bat gailu bati bakarrik dagokio eta gailu horren interfazearen atalean geratzen da. Bere erdi publikoa beste pare bakoitzak gailua ezagutzeko behar duena da, eta tresnek eratortzen dute, asmatu beharrean. Zerbitzarian, zure gailuaren gako publikoa parearen sarrera gisa agertzen da; zure gailuan, zerbitzariaren gako publikoak betetzen du rol hori. Konfigurazioa termino horietan ozen irakurtzeak nahaste gehienak harrapatzen ditu handshake batera iritsi aurretik.
wg komandoak tokiko interfazeak benetan zer erabiltzen duen inprimatzen du, bi gako publikoak barne. Horrek konfigurazio-errore bat konektibitate-arazo batetik bereizteko modurik azkarrena bihurtzen du:
wg show
wg show interfacesLehen irteerak pare bakoitza zerrendatzen du bere gako publikoarekin, azken aldiz erabilitako muturrarekin eta azken handshakearen adinarekin. Mutur batean «inoiz ez» den handshake-adina eta bestean berria izateak mutur batek soilik onartutako gako bat adierazten du. Bigarren komandoak gehiago azter ditzakezun interfazeen izenak ematen ditu.
Zer partekatu eta zer inoiz ez
Gako publikoa emateko pentsatuta dago, nahiz eta gailuen arteko erlazio bat identifikatzen duen oraindik, horregatik eskatu zuen administratzaileari bidaltzea ez da gauza bera argitaratzearekin. Gako pribatuak ez du inoiz sortu zuen gailua uzten. Esportatutako profil batek edo QR kode batek konfigurazio osoa dauka gako pribatu horrekin batera, beraz ez bat ez bestea ez dira seguruak eskuz pasatzeko, eta testua irudi baten barruan ezkutatzeak ez du ezer aldatzen. Aurrez partekatutako gakoak hautazkoak dira eta berdin sekretuak, eta bi muturrek balio bera eraman behar dute, bestela handshakea etapa horretan gelditzen da.
Beste bereizketa bat garbi esatea merezi du: muturra helbide bat eta portu bat da, inoiz ez gako bat. Gako publikoa muturraren eremuan itsasteak, edo helbidea gako-eremu batean, analizatzen den eta gero ezer egiten ez duen profil bat sortzen du. Tresnek ez dute hori harrapatuko, bi eremuak kate hutsak direlako. WireGuarden hasiera azkarrak sorrera eta eratorpen katea lerro bakarrean erakusten du.
Gailu bat, parearen sarrera bat
Zerbitzuak uzten duen lekuan, gailu bakoitzak bere pare-identitatea eraman beharko luke. Ordenagailu eramangarri baten profil osoa telefono batera itsasteak lausotzen du zein gailuk daukan identitate hori zerbitzarian, eta galtzen den telefono bakarra baliogabetzea zailago egiten du. Gako pribatu bat ihes egiten bada, kendu parearen baimen zaharra zerbitzarian eta lortu ordezko bat. Tokiko fitxategia ezabatzeak ez du zerbitzariaren sarrera kentzen, eta bezero-gako berri batek ez dio inori laguntzen zerbitzariak bere erdi publikoa ezagutu arte.
Eduki gailuaren eta gako publikoaren arteko korrespondentzia helbide-zerrendaren ondoan. Zerrenda horrek bihurtzen du baliogabetze bat bi minutuko lan oso arratsalde baten ordez.
Zerk huts egiten du oraindik handshakearen ondoren
Gako-pareek pareak identifikatzen dituzte; ez dute sarearen portaera erabakitzen. AllowedIPs-ek helbide-barrutiak pare batekin lotzen ditu, eta horren inguruko ibilbideak bezeroak edo konfigurazio-tresnak kudeatzen ditu. Sintomak normalean esaten du zein geruza ireki behar den hurrengo:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNSak huts egin dezake bi pareek behar bezala autentifikatu ondoren, eta aplikazio batek huts egin dezake tunela bera osasuntsu dagoela, beraz funtzionatzen duen handshake bat ez da diagnostikoaren amaiera. Gakoek ere ez dute ezer esaten operadorearen erregistro-praktikaz edo webgune batek zure kontua ezagutzen duen ala ez, eta galdera horiek beste leku batera dagozkie. Joan sare-geruzetara lau egiaztapenak gainditzen direnean, falta den gako bat ez baita mozorrotutako bideratze-arazo bat.