Privatni ključ ovdje, javni ključ ondje: WireGuard ključevi
Vaš privatni ključ ostaje na vašem uređaju; unos partnera drži javni ključ druge strane. Dijelite samo javnu polovinu i dajte svakom uređaju vlastiti identitet.
Većina ručno složenih WireGuard kvarova svodi se na to koji je ključ gdje otišao. Sekcija interfejsa nosi privatni ključ uređaja koji konfigurišete, a sekcija partnera nosi javni ključ mašine na drugoj strani. Zamjena tih polovina, ili lijepljenje pogrešne, daje handshake koji se nikad ne završi i zapis koji nikad ne imenuje ključ. Prođite kroz četiri provjere ispod po redu prije nego što dirnete AllowedIPs ili DNS.
Dva ključa, dva smjera
Privatni ključ pripada tačno jednom uređaju i ostaje u sekciji interfejsa tog uređaja. Njegova javna polovina je ono što svaki drugi partner treba da bi prepoznao uređaj, a alati je izvode umjesto da je izmišljaju. Na serveru se javni ključ vašeg uređaja pojavljuje kao unos partnera; na vašem uređaju tu ulogu drži javni ključ servera. Čitanje konfiguracije naglas tim riječima hvata većinu zabuna prije nego stignu do handshakea.
Naredba wg ispisuje šta lokalni interfejs zaista koristi, uključujući oba javna ključa. To je čini najbržim načinom da odvojite grešku u konfiguraciji od problema s povezivanjem:
wg show
wg show interfacesPrvi izlaz navodi svakog partnera s njegovim javnim ključem, krajnjom točkom koju je posljednju koristio i starošću posljednjeg handshakea. Starost handshakea „nikad“ na jednoj strani i nedavna na drugoj upućuje na ključ koji je prihvatio samo jedan kraj. Druga naredba imenuje interfejse koje možete dalje pregledati.
Šta dijeliti i šta nikad ne dijeliti
Javni ključ je namijenjen predaji, iako još uvijek identificira odnos uređaja, zato se slanje administratoru koji ga je tražio razlikuje od objavljivanja. Privatni ključ nikad ne napušta uređaj koji ga je generirao. Izvezeni profil ili QR kod drži cijelu konfiguraciju uključujući taj privatni ključ, pa nijedno nije sigurno za prosljeđivanje, a skrivanje teksta unutar slike ne mijenja ništa. Unaprijed podijeljeni ključevi su opcionalni i jednako tajni, i oba kraja moraju nositi istu vrijednost, inače handshake staje na tom koraku.
Još jednu razliku valja reći otvoreno: krajnja točka je adresa i port, nikad ključ. Lijepljenje javnog ključa u polje krajnje točke, ili adrese u polje ključa, daje profil koji se parsira i zatim ne radi ništa. Alati to neće uhvatiti, jer su oba polja samo stringovi. WireGuard brzi početak pokazuje cjevovod generisanja i izvođenja u jednom redu.
Jedan uređaj, jedan unos partnera
Gdje usluga to dopušta, svaki uređaj treba nositi vlastiti identitet partnera. Lijepljenje kompletnog profila laptopa na telefon zamućuje koji uređaj drži taj identitet na serveru i otežava opoziv jednog izgubljenog telefona. Ako privatni ključ procuri, uklonite staro ovlaštenje partnera na serveru i osigurajte zamjenu. Brisanje lokalne datoteke ne uklanja serverski unos, a novi klijentski ključ nikome ne pomaže dok server ne zna njegovu javnu polovinu.
Držite mapiranje uređaja na javni ključ uz listu adresa. Ta lista pretvara opoziv u dvominutni zadatak umjesto cijelog popodneva.
Šta još pada nakon handshakea
Parovi ključeva identificiraju partnere; oni ne odlučuju o mrežnom ponašanju. AllowedIPs povezuje raspone adresa s partnerom, a rute oko toga upravlja klijent ili alat za postavljanje. Simptom obično kaže koji sloj sljedeće otvoriti:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS može pasti nakon što se oba partnera ispravno autentificiraju, a aplikacija može pasti dok je sam tunel zdrav, pa radni handshake nije kraj dijagnoze. Ključevi također ne govore ništa o praksi operatera u logovanju ni o tome prepoznaje li web stranica vaš račun, i ta pitanja pripadaju drugdje. Prijeđite na mrežne slojeve kad četiri provjere prođu, jer ključ koji nedostaje nije prerušeni problem rutiranja.