Clave privada aquí, clave pública alí: as claves de WireGuard
A túa clave privada queda no teu dispositivo; a entrada de par contén a clave pública do outro lado. Comparte só a metade pública e dálle a cada dispositivo a súa propia identidade.
A maioría dos fallos de WireGuard montados á man redúcense a que clave foi parar a onde. A sección de interface leva a clave privada do dispositivo que estás a configurar, mentres que unha sección de par leva a clave pública da máquina do outro extremo. Trocar esas metades, ou pegar a equivocada, produce un handshake que nunca se completa e un rexistro que nunca nomea unha clave. Fai as catro comprobacións seguintes en orde antes de tocar AllowedIPs ou DNS.
Dúas claves, dúas direccións
Unha clave privada pertence exactamente a un dispositivo e queda na sección de interface dese dispositivo. A súa metade pública é o que calquera outro par necesita para recoñecer o dispositivo, e as ferramentas derívana en lugar de inventala. No servidor, a clave pública do teu dispositivo aparece como unha entrada de par; no teu dispositivo, a clave pública do servidor ten ese papel. Ler unha configuración en voz alta con eses termos atrapa a maioría das confusións antes de que cheguen a un handshake.
A orde wg imprime o que está a usar realmente a interface local, incluídas as dúas claves públicas. Iso convértea na forma máis rápida de separar un erro de configuración dun problema de conectividade:
wg show
wg show interfacesA primeira saída lista cada par coa súa clave pública, o extremo que usou por última vez e a idade do seu último handshake. Unha idade de handshake «nunca» nun lado e recente no outro apunta a unha clave que só aceptou un extremo. A segunda orde nomea as interfaces que podes inspeccionar máis a fondo.
Que compartir e que non compartir nunca
Unha clave pública está pensada para entregarse, aínda que segue identificando unha relación de dispositivo, por iso enviala ao administrador que a pediu non é o mesmo que publicala. Unha clave privada non sae nunca do dispositivo que a xerou. Un perfil exportado ou un código QR contén toda a configuración, incluída esa clave privada, así que ningún dos dous é seguro para facelo circular, e agochar o texto dentro dunha imaxe non cambia nada. As claves precompartidas son opcionais e igual de secretas, e ambos os extremos deben levar o mesmo valor ou o handshake detense nesa etapa.
Outra distinción merece dicirse sen rodeos: un extremo é un enderezo e un porto, nunca unha clave. Pegar unha clave pública no campo do extremo, ou un enderezo nun campo de clave, produce un perfil que se analiza e despois non fai nada. As ferramentas non o detectarán, porque ambos os campos son só cadeas. O inicio rápido de WireGuard mostra a cadea de xeración e derivación nunha liña.
Un dispositivo, unha entrada de par
Onde o servizo o permita, cada dispositivo debe levar a súa propia identidade de par. Pegar o perfil completo dun portátil nun teléfono difumina que dispositivo ten esa identidade no servidor e fai máis difícil revogar un só teléfono perdido. Se se filtra unha clave privada, elimina a autorización antiga do par no servidor e consegue un substituto. Borrar o ficheiro local non elimina a entrada do servidor, e unha clave de cliente nova non axuda a ninguén ata que o servidor coñeza a súa metade pública.
Mantén a correspondencia de dispositivo a clave pública xunto á lista de enderezos. Esa lista é o que converte unha revogación nunha tarefa de dous minutos en lugar dunha tarde enteira.
Que segue fallando despois do handshake
Os pares de claves identifican pares; non deciden o comportamento da rede. AllowedIPs asocia rangos de enderezos cun par, e o cliente ou a ferramenta de configuración xestiona as rutas arredor. O síntoma adoita dicir que capa hai que abrir a continuación:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
O DNS pode fallar despois de que ambos os pares se autentiquen correctamente, e unha aplicación pode fallar mentres o túnel está san, así que un handshake que funciona non é o final do diagnóstico. As claves tampouco din nada sobre a práctica de rexistro dun operador nin sobre se un sitio web recoñece a túa conta, e esas preguntas pertencen a outro sitio. Pasa ás capas de rede cando as catro comprobacións pasen, porque unha clave ausente non é un problema de encamiñamento disfrazado.