Մասնավոր բանալին այստեղ, հրապարակային բանալին այնտեղ՝ WireGuard-ի բանալիները
Ձեր մասնավոր բանալին մնում է ձեր սարքում, իսկ զուգակցի գրառումը պահում է մյուս կողմի հրապարակային բանալին։ Կիսվեք միայն հրապարակային կեսով և յուրաքանչյուր սարքի տվեք իր սեփական ինքնությունը։
Ձեռքով հավաքված WireGuard-ի անհաջողությունների մեծ մասը հանգում է նրան, թե որ բանալին ուր գնաց։ Միջերեսի բաժինը կրում է ձեր կարգավորած սարքի մասնավոր բանալին, իսկ զուգակցի բաժինը՝ մյուս ծայրի մեքենայի հրապարակային բանալին։ Այդ կեսերի փոխանակումը կամ սխալի տեղադրումը ստեղծում է ձեռքսեղմում, որը երբեք չի ավարտվում, և մատյան, որը երբեք բանալի չի անվանում։ Նախքան AllowedIPs-ին կամ DNS-ին դիպչելը կատարեք ներքևի չորս ստուգումները հերթով։
Երկու բանալի, երկու ուղղություն
Մասնավոր բանալին պատկանում է ուղիղ մեկ սարքի և մնում է այդ սարքի միջերեսի բաժնում։ Նրա հրապարակային կեսն այն է, ինչ պետք է յուրաքանչյուր այլ զուգակցի՝ սարքը ճանաչելու համար, և գործիքները այն ածանցում են, ոչ թե հորինում։ Սերվերում ձեր սարքի հրապարակային բանալին երևում է որպես զուգակցի գրառում, իսկ ձեր սարքում այդ դերը կատարում է սերվերի հրապարակային բանալին։ Կարգավորումը բարձրաձայն այդ տերմիններով կարդալը բռնում է խառնաշփոթների մեծ մասը մինչև ձեռքսեղմում հասնելը։
wg հրամանը տպում է, թե տեղական միջերեսն իրականում ինչ է օգտագործում՝ ներառյալ երկու հրապարակային բանալիները, և դա այն դարձնում է կարգավորման սխալը կապակցման խնդրից տարանջատելու ամենաարագ եղանակը։
wg show
wg show interfacesԱռաջին ելքը թվարկում է յուրաքանչյուր զուգակցի իր հրապարակային բանալիով, վերջին օգտագործած վերջնակետով և վերջին ձեռքսեղմման տարիքով։ Մի կողմում «երբեք» ձեռքսեղմման տարիքը, իսկ մյուսում՝ վերջերս եղածը ցույց է տալիս բանալի, որը ընդունել է միայն մի ծայրը։ Երկրորդ հրամանը անվանում է միջերեսները, որոնք կարող եք ավելի մանրամասն ուսումնասիրել։
Ինչ կիսել և ինչ երբեք չկիսել
Հրապարակային բանալին նախատեսված է հանձնելու համար, թեպետ այն դեռ նույնացնում է սարքերի հարաբերություն, դրա համար էլ այն խնդրող ադմինիստրատորին ուղարկելը տարբերվում է այն հրապարակելուց։ Մասնավոր բանալին երբեք չի լքում այն սարքը, որը ստեղծել է այն։ Արտահանված պրոֆիլը կամ QR կոդը պարունակում է ամբողջ կարգավորումը՝ ներառյալ այդ մասնավոր բանալին, ուստի դրանցից ոչ մեկը փոխանցելու համար ապահով չէ, և տեքստը նկարի մեջ թաքցնելը ոչինչ չի փոխում։ Նախապես կիսված բանալիները ընտրովի են և նույնքան գաղտնի, և երկու ծայրերը պետք է կրեն նույն արժեքը, այլապես ձեռքսեղմումը կանգ է առնում այդ փուլում։
Եվս մեկ տարբերություն արժե ուղղակի ասել՝ վերջնակետը հասցե և պորտ է, երբեք բանալի չէ։ Հրապարակային բանալին վերջնակետի դաշտում կամ հասցեն բանալու դաշտում տեղադրելը ստեղծում է պրոֆիլ, որը վերլուծվում է և հետո ոչինչ չի անում։ Գործիքները դա չեն բռնի, որովհետև երկու դաշտերն էլ պարզապես տողեր են։ WireGuard-ի արագ մեկնարկը մեկ տողում ցույց է տալիս ստեղծման և ածանցման շղթան։
Մեկ սարք, մեկ զուգակցի գրառում
Այնտեղ, որտեղ ծառայությունը թույլ է տալիս, յուրաքանչյուր սարք պետք է կրի իր սեփական զուգակցի ինքնությունը։ Նոթբուքի ամբողջական պրոֆիլը հեռախոսի վրա տեղադրելը մշուշում է, թե որ սարքն է պահում այդ ինքնությունը սերվերում, և դժվարացնում է մեկ կորած հեռախոսի չեղարկումը։ Եթե մասնավոր բանալին արտահոսի, հեռացրեք հին զուգակցի լիազորումը սերվերից և ապահովեք փոխարինում։ Տեղական ֆայլը ջնջելը չի հեռացնում սերվերի գրառումը, և նոր հաճախորդի բանալին ոչ մեկին չի օգնում, քանի դեռ սերվերը չգիտի նրա հրապարակային կեսը։
Պահեք սարքից հրապարակային բանալի քարտեզը հասցեների ցանկի կողքին։ Հենց այդ ցանկն է չեղարկումը դարձնում երկու րոպեի գործ՝ ամբողջ կեսօրի փոխարեն։
Ինչ դեռ ձախողվում է ձեռքսեղմումից հետո
Բանալիների զույգերը նույնացնում են զուգակցիներին, նրանք չեն որոշում ցանցի վարքը։ AllowedIPs-ը հասցեների միջակայքերը կապում է զուգակցի հետ, իսկ դրա շուրջ երթուղիները կառավարում է հաճախորդը կամ կարգավորման գործիքը, և ախտանիշը սովորաբար ասում է, թե որ շերտը բացել հաջորդիվ։
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS-ը կարող է ձախողվել այն բանից հետո, երբ երկու զուգակցիներն էլ ճիշտ նույնականացան, և ծրագիրը կարող է ձախողվել, երբ ինքը թունելը առողջ է, ուստի աշխատող ձեռքսեղմումը ախտորոշման վերջը չէ։ Բանալիները նաև ոչինչ չեն ասում օպերատորի մատյանային պրակտիկայի կամ այն մասին, թե արդյոք կայքը ճանաչում է ձեր հաշիվը, և այդ հարցերը այլ տեղ են պատկանում։ Անցեք ցանցային շերտերին, երբ չորս ստուգումներն անցնեն, որովհետև բացակայող բանալին քողարկված երթուղավորման խնդիր չէ։