Yksityinen avain täällä, julkinen avain siellä: WireGuarden avaimet
Yksityinen avaimesi pysyy laitteessasi; vertaisen merkintä sisältää toisen pään julkisen avaimen. Jaa vain julkinen puolisko ja anna jokaiselle laitteelle oma identiteetti.
Useimmat käsin kootut WireGuard-virheet palautuvat siihen, mikä avain päätyi minne. Liitännän osio sisältää määritettävän laitteen yksityisen avaimen, kun taas vertaisen osio sisältää toisessa päässä olevan koneen julkisen avaimen. Näiden puoliskojen vaihtaminen tai väärän liittäminen tuottaa kättelyn, joka ei koskaan valmistu, ja lokin, joka ei koskaan nimeä avainta. Käy alla olevat neljä tarkistusta järjestyksessä läpi ennen kuin kosket AllowedIPs- tai DNS-asetuksiin.
Kaksi avainta, kaksi suuntaa
Yksityinen avain kuuluu täsmälleen yhdelle laitteelle ja pysyy sen laitteen liitännän osiossa. Sen julkinen puolisko on se, mitä jokainen toinen vertainen tarvitsee laitteen tunnistamiseen, ja työkalut johtavat sen sen sijaan että keksisivät sen. Palvelimella laitteesi julkinen avain näkyy vertaisen merkintänä; laitteessasi palvelimen julkinen avain täyttää sen roolin. Kokoonpanon lukeminen ääneen noilla termeillä nappaa useimmat sekaannukset ennen kuin ne ehtivät kättelyyn.
Komento wg tulostaa, mitä paikallinen liitäntä todella käyttää, molemmat julkiset avaimet mukaan lukien. Siksi se on nopein tapa erottaa kokoonpanovirhe yhteyden ongelmasta:
wg show
wg show interfacesEnsimmäinen tuloste luettelee jokaisen vertaisen sen julkisen avaimen, viimeksi käytetyn päätepisteen ja viimeisimmän kättelyn iän kanssa. Kättelyn ikä ei koskaan toisessa päässä ja tuore toisessa viittaa avaimeen, jonka vain toinen pää hyväksyi. Toinen komento nimeää liitännät, joita voit tutkia tarkemmin.
Mitä jakaa ja mitä ei koskaan
Julkinen avain on tarkoitettu luovutettavaksi, vaikka se yhä yksilöi laitesuhteen, siksi sen lähettäminen sitä pyytäneelle ylläpitäjälle eroaa sen julkaisemisesta. Yksityinen avain ei koskaan poistu laitteesta, joka sen loi. Viety profiili tai QR-koodi sisältää koko kokoonpanon, myös sen yksityisen avaimen, joten kumpikaan ei ole turvallinen kierrätettäväksi, eikä tekstin piilottaminen kuvan sisään muuta mitään. Ennalta jaetut avaimet ovat valinnaisia ja yhtä salaisia, ja molemmissa päissä on oltava sama arvo, muuten kättely pysähtyy siihen vaiheeseen.
Vielä yksi ero on syytä sanoa suoraan: päätepiste on osoite ja portti, ei koskaan avain. Julkisen avaimen liittäminen päätepisteen kenttään tai osoitteen avainkenttään tuottaa profiilin, joka jäsennetään ja joka ei sitten tee mitään. Työkalut eivät nappaa sitä, koska molemmat kentät ovat vain merkkijonoja. WireGuarden pika-aloitus näyttää luonti- ja johtoketjun yhdellä rivillä.
Yksi laite, yksi vertaisen merkintä
Missä palvelu sallii, jokaisella laitteella pitäisi olla oma vertainen identiteettinsä. Kannettavan tietokoneen täyden profiilin liittäminen puhelimeen hämärtää, mikä laite pitää sitä identiteettiä palvelimella, ja tekee yhden kadonneen puhelimen peruuttamisesta vaikeampaa. Jos yksityinen avain vuotaa, poista vanha vertaisen valtuutus palvelimelta ja hanki tilalle uusi. Paikallisen tiedoston poistaminen ei poista palvelimen merkintää, eikä uusi asiakasavain auta ketään ennen kuin palvelin tuntee sen julkisen puoliskon.
Pidä laitteen ja julkisen avaimen vastaavuus osoiteluettelon vieressä. Juuri se luettelo tekee peruuttamisesta kahden minuutin työn kokonaisen iltapäivän sijaan.
Mikä vielä epäonnistuu kättelyn jälkeen
Avainparit yksilöivät vertaisia; ne eivät päätä verkon käyttäytymisestä. AllowedIPs liittää osoitealueet vertaiseen, ja reitit sen ympärillä hallinnoi asiakas tai asennustyökalu. Oire kertoo yleensä, mikä kerros avataan seuraavaksi:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS voi epäonnistua sen jälkeen, kun molemmat vertaiset ovat todenneet itsensä oikein, ja sovellus voi epäonnistua, kun tunneli itsessään on kunnossa, joten toimiva kättely ei ole diagnoosin loppu. Avaimet eivät myöskään kerro mitään operaattorin lokikäytännöstä tai siitä, tunnistaako verkkosivusto tilisi, ja ne kysymykset kuuluvat muualle. Siirry verkkokerroksiin, kun neljä tarkistusta ovat menneet läpi, sillä puuttuva avain ei ole naamioitu reititysongelma.