Privát kulcs itt, nyilvános kulcs ott: WireGuard-kulcsok
A privát kulcs a saját eszközön marad; a partner bejegyzés a másik fél nyilvános kulcsát tartalmazza. Csak a nyilvános felet ossza meg, és minden eszköz kapjon saját identitást.
A kézzel összerakott WireGuard-hibák többsége arra vezethető vissza, melyik kulcs hová került. Az interfész szakasz a konfigurált eszköz privát kulcsát tartalmazza, míg a partner szakasz a másik végén lévő gép nyilvános kulcsát. E felek felcserélése vagy a rossz beillesztése olyan kézfogást eredményez, amely soha nem fejeződik be, és olyan naplót, amely soha nem nevez meg kulcsot. A négy ellenőrzést lent, sorrendben végezze el, mielőtt az AllowedIPs-hez vagy a DNS-hez nyúlna.
Két kulcs, két irány
Egy privát kulcs pontosan egy eszközhöz tartozik, és annak az eszköznek az interfész szakaszában marad. A nyilvános fele az, amire minden más partnernek szüksége van az eszköz felismeréséhez, és az eszközök ezt származtatják, nem kitalálják. A szerveren az eszköz nyilvános kulcsa partner bejegyzésként jelenik meg; az eszközön a szerver nyilvános kulcsa tölti be ezt a szerepet. Ha a konfigurációt ezekkel a kifejezésekkel olvassa fel, a legtöbb keveredés még a kézfogás előtt kiderül.
A wg parancs kiírja, mit használ valójában a helyi interfész, mindkét nyilvános kulccsal együtt. Ez teszi a leggyorsabb módszerré a konfigurációs hiba és a kapcsolódási probléma szétválasztására:
wg show
wg show interfacesAz első kimenet minden partnert felsorol a nyilvános kulcsával, a legutóbb használt végponttal és a legutóbbi kézfogás korával. Ha az egyik oldalon «soha» a kézfogás kora, a másikon pedig friss, az olyan kulcsra utal, amelyet csak az egyik vég fogadott el. A második parancs megnevezi azokat az interfészeket, amelyeket tovább vizsgálhat.
Mit osszunk meg, és mit soha
A nyilvános kulcsot átadásra szánják, bár továbbra is eszközkapcsolatot azonosít, ezért más dolog elküldeni annak az adminisztrátornak, aki kérte, mint közzétenni. A privát kulcs soha nem hagyja el a létrehozó eszközt. Az exportált profil vagy a QR-kód a teljes konfigurációt tartalmazza, beleértve azt a privát kulcsot is, így egyik sem biztonságos továbbadásra, és a szöveg képbe rejtése semmit nem változtat. Az előre megosztott kulcsok opcionálisak és ugyanolyan titkosak, és mindkét végnek ugyanazt az értéket kell hordoznia, különben a kézfogás abban a szakaszban megáll.
Egy további különbséget érdemes nyíltan kimondani: a végpont egy cím és egy port, soha nem kulcs. Ha nyilvános kulcsot illeszt a végpont mezőjébe, vagy címet egy kulcsmezőbe, olyan profilt kap, amely beolvasható, majd semmit nem tesz. Az eszközök ezt nem fogják meg, mert mindkét mező csak szöveg. A WireGuard gyors indítása egy sorban mutatja a létrehozási és származtatási láncot.
Egy eszköz, egy partner bejegyzés
Ahol a szolgáltatás engedi, minden eszköznek saját partner identitást kell hordoznia. Ha egy laptop teljes profilját ráilleszti egy telefonra, elmosódik, melyik eszköz tartja ezt az identitást a szerveren, és nehezebbé válik egyetlen elveszett készülék visszavonása. Ha egy privát kulcs kiszivárog, távolítsa el a régi partner felhatalmazást a szerveren, és gondoskodjon pótlásról. A helyi fájl törlése nem távolítja el a szerver bejegyzését, és egy új klientskulcs senkinek nem segít, amíg a szerver nem ismeri annak nyilvános felét.
Tartsa az eszköz és a nyilvános kulcs megfeleltetését a címlista mellett. Ez a lista teszi a visszavonást kétperces feladattá egy egész délután helyett.
Mi hibázik még a kézfogás után
A kulcspárok partnereket azonosítanak; nem döntenek a hálózat viselkedéséről. Az AllowedIPs címek tartományait rendeli egy partnerhez, és a körülötte lévő útvonalakat a kliens vagy a beállító eszköz kezeli. A tünet rendszerint megmondja, melyik réteget kell legközelebb megnyitni:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
A DNS meghiúsulhat, miután mindkét partner helyesen hitelesítette magát, és egy alkalmazás is meghiúsulhat, miközben maga az alagút egészséges, tehát a működő kézfogás nem a diagnózis vége. A kulcsok arról sem mondanak semmit, hogyan naplóz az üzemeltető, vagy hogy egy webhely felismeri-e a fiókját, és ezek a kérdések máshová tartoznak. Lépjen tovább a hálózati rétegekre, ha a négy ellenőrzés átmegy, mert a hiányzó kulcs nem álcázott útválasztási probléma.