Kunci privat di sini, kunci publik di sana: kunci WireGuard
Kunci privat Anda tetap di perangkat Anda; entri peer menyimpan kunci publik sisi lain. Bagikan hanya separuh publiknya, dan beri setiap perangkat identitasnya sendiri.
Sebagian besar kegagalan WireGuard yang dirakit manual bermuara pada kunci mana yang pergi ke mana. Bagian antarmuka memuat kunci privat perangkat yang sedang Anda konfigurasi, sedangkan bagian peer memuat kunci publik mesin di ujung lain. Menukar separuh itu, atau menempel yang salah, menghasilkan handshake yang tidak pernah selesai dan log yang tidak pernah menyebut kunci. Kerjakan empat pemeriksaan di bawah secara berurutan sebelum menyentuh AllowedIPs atau DNS.
Dua kunci, dua arah
Satu kunci privat hanya milik satu perangkat dan tetap di bagian antarmuka perangkat itu. Separuh publiknya adalah yang dibutuhkan setiap peer lain untuk mengenali perangkat, dan perkakas menurunkannya alih-alih mengarangnya. Di server, kunci publik perangkat Anda tampil sebagai entri peer; di perangkat Anda, kunci publik server memegang peran itu. Membaca konfigurasi dengan lantang dalam istilah itu menangkap sebagian besar kekeliruan sebelum sampai ke handshake.
Perintah wg mencetak apa yang sebenarnya dipakai antarmuka lokal, termasuk kedua kunci publik. Itu menjadikannya cara tercepat memisahkan kesalahan konfigurasi dari masalah konektivitas:
wg show
wg show interfacesKeluaran pertama mendaftar setiap peer dengan kunci publiknya, titik akhir yang terakhir dipakai, dan usia handshake terakhirnya. Usia handshake «tidak pernah» di satu sisi dan yang baru di sisi lain menunjuk ke kunci yang hanya diterima satu ujung. Perintah kedua menyebut antarmuka yang bisa Anda periksa lebih lanjut.
Apa yang dibagikan dan apa yang tidak pernah
Kunci publik dimaksudkan untuk diserahkan, meski ia tetap mengenali hubungan perangkat, karena itu mengirimkannya ke administrator yang memintanya berbeda dari menerbitkannya. Kunci privat tidak pernah meninggalkan perangkat yang membuatnya. Profil yang diekspor atau kode QR memuat seluruh konfigurasi termasuk kunci privat itu, jadi keduanya tidak aman untuk dioper, dan menyembunyikan teks di dalam gambar tidak mengubah apa pun. Kunci yang dibagikan sebelumnya bersifat opsional dan sama rahasianya, dan kedua ujung harus memuat nilai yang sama atau handshake berhenti pada tahap itu.
Satu perbedaan lagi layak dikatakan terus terang: titik akhir adalah alamat dan port, tidak pernah kunci. Menempel kunci publik ke kolom titik akhir, atau alamat ke kolom kunci, menghasilkan profil yang terurai lalu tidak melakukan apa pun. Perkakas tidak akan menangkapnya, karena kedua kolom hanyalah string. Mulai cepat WireGuard menunjukkan alur buat-dan-turunkan dalam satu baris.
Satu perangkat, satu entri peer
Di tempat layanan mengizinkannya, setiap perangkat sebaiknya membawa identitas peer sendiri. Menempel profil lengkap laptop ke ponsel mengaburkan perangkat mana yang memegang identitas itu di server dan membuat pencabutan satu ponsel yang hilang lebih sulit. Jika kunci privat bocor, hapus otorisasi peer lama di server dan sediakan penggantinya. Menghapus berkas lokal tidak menghapus entri server, dan kunci klien baru tidak menolong siapa pun sampai server mengenal separuh publiknya.
Simpan pemetaan perangkat ke kunci publik di samping daftar alamat. Daftar itulah yang mengubah pencabutan menjadi pekerjaan dua menit alih-alih satu sore penuh.
Apa yang masih gagal setelah handshake
Pasangan kunci mengenali peer; mereka tidak menentukan perilaku jaringan. AllowedIPs mengaitkan rentang alamat dengan sebuah peer, dan rute di sekitarnya dikelola klien atau perkakas penyiapan. Gejalanya biasanya mengatakan lapisan mana yang dibuka berikutnya:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS bisa gagal setelah kedua peer terautentikasi dengan benar, dan aplikasi bisa gagal sementara terowongannya sendiri sehat, jadi handshake yang berfungsi bukan akhir diagnosis. Kunci juga tidak mengatakan apa pun tentang praktik pencatatan operator atau tentang apakah sebuah situs mengenali akun Anda, dan pertanyaan itu milik tempat lain. Beralihlah ke lapisan jaringan begitu keempat pemeriksaan lolos, karena kunci yang hilang bukan masalah perutean yang menyamar.