Priveekaai hjir, iepenbiere kaai dêr: WireGuard-kaaien
Dyn priveekaai bliuwt op dyn apparaat; de peer-ynskriuwing hâldt de iepenbiere kaai fan de oare kant. Diel allinnich de iepenbiere helte, en jou elk apparaat syn eigen identiteit.
De measte selsboude WireGuard-misgongen komme del op hokker kaai wêr belâne is. De ynterface-seksje draacht de priveekaai fan it apparaat dat jo konfigurearje, wylst in peer-seksje de iepenbiere kaai fan de masine oan de oare kant draacht. It ferwikseljen fan dy helten, of it plakken fan de ferkearde, leveret in handshake op dy’t nea foltôget en in log dy’t nea in kaai neamt. Wurkje de fjouwer kontrôles hjirûnder yn folchoarder ôf foardat jo AllowedIPs of DNS oanreitsje.
Twa kaaien, twa rjochtingen
In priveekaai heart by krekt ien apparaat en bliuwt yn ’e ynterface-seksje fan dat apparaat. Syn iepenbiere helte is wat elke oare peer nedich hat om it apparaat te werkenjen, en it ark liedt it ôf yn stee fan it te betinken. Op ’e server ferskynt de iepenbiere kaai fan jo apparaat as in peer-ynskriuwing; op jo apparaat ferfollet de iepenbiere kaai fan ’e server dy rol. It lêzen fan in konfiguraasje lûdop yn dy termen fangt de measte betizingen foardat se in handshake berikke.
It kommando wg printsjes wat de lokale ynterface echt brûkt, ynklusyf beide iepenbiere kaaien. Dat makket it de fluchste manier om in konfiguraasjeflater fan in ferbiningprobleem te skieden:
wg show
wg show interfacesDe earste útfier listet elke peer mei syn iepenbiere kaai, it einpunt dat er it lêst brûkte en de âldens fan syn lêste handshake. In handshake-âldens fan nea oan ’e iene kant en in resinte oan ’e oare kant wiist op in kaai dy’t mar ien ein akseptearre hat. It twadde kommando neamt de ynterfaces dy’t jo fierder besjen kinne.
Wat te dielen en wat nea te dielen
In iepenbiere kaai is bedoeld om oerdroegen te wurden, hoewol’t er noch altiten in apparaatrelaasje identifisearret, dêrom ferskilt it stjoeren nei de behearder dy’t derom frege fan it publisearjen. In priveekaai ferlitt nea it apparaat dat him oanmakke hat. In eksportearre profyl of in QR-koade hâldt de hiele konfiguraasje ynklusyf dy priveekaai, dus gjin fan beide is feilich om troch te jaan, en it ferstopjen fan de tekst yn in byld feroaret neat. Foarôf dielde kaaien binne opsjoneel en like geheim, en beide einen moatte deselde wearde drage, oars stjit de handshake by dy stap op.
Noch ien ûnderskie is de muoite wurdich om plat te sizzen: in einpunt is in adres en in poarte, nea in kaai. It plakken fan in iepenbiere kaai yn it einpuntfjild, of in adres yn in kaaifjild, leveret in profyl op dat parset en dan neat docht. It ark sil it net fange, want beide fjilden binne gewoan tekenrigels. De WireGuard-flugge start lit de oanmeitsje-en-ôfliede-rige yn ien regel sjen.
Ien apparaat, ien peer-ynskriuwing
Wêr’t de tsjinst it talit, moat elk apparaat syn eigen peer-identiteit drage. It folsleine profyl fan in laptop op in telefoan plakke ferflouwet hokker apparaat dy identiteit op ’e server hâldt en makket it weromlûken fan ien ferlern telefoan hurder. As in priveekaai lekket, ferwiderje dan de âlde peer-befoechding op ’e server en soargje foar in ferfanging. It pleatslike bestân wiskje ferwidert de yngong fan ’e server net, en in nije klantkaai helpt nimmen oant de server syn iepenbiere helte ken.
Hâld de ferbining fan apparaat nei iepenbiere kaai njonken de adreslist. Dy list is wat in weromlûken ta in taak fan twa minuten makket yn stee fan in hiele middei.
Wat nei de handshake noch misgiet
Kaaipearen identifisearje peers; se beslute net oer netwurkgedrach. AllowedIPs ferbynt adresberikken mei in peer, en de rûtes dêromhinne beheart de klant of it ynstelark. It symptoom seit meastentiids hokker laach der folgjende iepen moat:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS kin misgje nei’t beide peers har goed autentisearre hawwe, en in applikaasje kin misgje wylst de tunnel sels sûn is, dus in wurkjende handshake is net it ein fan ’e diagnostyk. Kaaien sizze ek neat oer de logpraktik fan in operator of oer oft in website jo akkount ken, en dy fragen hearre earne oars. Gean nei de netwurklagen as de fjouwer kontrôles slagje, want in ûntbrekkende kaai is gjin ferklaaide routingprobleem.