პირადი გასაღები აქ, საჯარო გასაღები იქ: WireGuard-ის გასაღებები
თქვენი პირადი გასაღები თქვენს მოწყობილობაზე რჩება; წყვილის ჩანაწერი მეორე მხარის საჯარო გასაღებს ინახავს. გააზიარეთ მხოლოდ საჯარო ნახევარი და თითოეულ მოწყობილობას საკუთარი იდენტობა მიეცით.
ხელით აწყობილი WireGuard-ის წარუმატებლობების უმეტესობა იმაზე მოდის, რომელი გასაღები სად მოხვდა. ინტერფეისის ნაწილში თქვენ მიერ კონფიგურირებული მოწყობილობის პირადი გასაღებია, ხოლო წყვილის ნაწილში — მეორე ბოლოში მდგარი მანქანის საჯარო გასაღები. ამ ნახევრების შეცვლა ან არასწორის ჩასმა ქმნის ხელის ჩამორთმევას, რომელიც არასოდეს სრულდება, და ჟურნალს, რომელიც არასოდეს ასახელებს გასაღებს. სანამ AllowedIPs-ს ან DNS-ს შეეხებით, ქვემოთ მოცემული ოთხი შემოწმება რიგრიგობით შეასრულეთ.
ორი გასაღები, ორი მიმართულება
პირადი გასაღები ზუსტად ერთ მოწყობილობას ეკუთვნის და ამ მოწყობილობის ინტერფეისის ნაწილში რჩება. მისი საჯარო ნახევარი ის არის, რაც ყველა სხვა წყვილს სჭირდება მოწყობილობის ამოსაცნობად, და ხელსაწყოები მას გამოიღებენ და არა იგონებენ. სერვერზე თქვენი მოწყობილობის საჯარო გასაღები წყვილის ჩანაწერად ჩანს, ხოლო თქვენს მოწყობილობაზე ამ როლს სერვერის საჯარო გასაღები ასრულებს. კონფიგურაციის ხმამაღლა ამ ტერმინებით წაკითხვა ხელის ჩამორთმევამდე იჭერს გაუგებრობების უმეტესობას.
wg ბრძანება ბეჭდავს, რას იყენებს სინამდვილეში ლოკალური ინტერფეისი, ორივე საჯარო გასაღების ჩათვლით. ამიტომ ეს არის ყველაზე სწრაფი გზა კონფიგურაციის შეცდომის დაკავშირების პრობლემისგან გასარჩევად:
wg show
wg show interfacesპირველი გამონატანი თითოეულ წყვილს ჩამოთვლის მისი საჯარო გასაღებით, ბოლოს გამოყენებული ბოლო წერტილით და ბოლო ხელის ჩამორთმევის ასაკით. ხელის ჩამორთმევის ასაკი «არასოდეს» ერთ მხარეს და ახლახანს მეორეზე მიუთითებს გასაღებზე, რომელიც მხოლოდ ერთმა ბოლომ მიიღო. მეორე ბრძანება ასახელებს ინტერფეისებს, რომლებსაც შემდგომ შეამოწმებთ.
რა გავაზიაროთ და რა არასოდეს
საჯარო გასაღები გადასაცემადაა განკუთვნილი, თუმცა ის მაინც იდენტიფიცირებს მოწყობილობათა კავშირს, ამიტომ მისი გაგზავნა იმ ადმინისტრატორთან, ვინც ითხოვა, განსხვავდება მისი გამოქვეყნებისგან. პირადი გასაღები არასოდეს ტოვებს იმ მოწყობილობას, რომელმაც ის შექმნა. ექსპორტირებული პროფილი ან QR კოდი მთელ კონფიგურაციას შეიცავს, მათ შორის იმ პირად გასაღებს, ამიტომ არც ერთი მათგანი არ არის გადაცემისთვის უსაფრთხო, და ტექსტის სურათში დამალვა არაფერს ცვლის. წინასწარ გაზიარებული გასაღებები არასავალდებულოა და თანაბრად საიდუმლო, და ორივე ბოლოს ერთი და იგივე მნიშვნელობა უნდა ჰქონდეს, თორემ ხელის ჩამორთმევა იმ ეტაპზე ჩერდება.
კიდევ ერთი განსხვავება პირდაპირ უნდა ითქვას: ბოლო წერტილი მისამართი და პორტია, არასოდეს გასაღები. საჯარო გასაღების ბოლო წერტილის ველში, ან მისამართის გასაღების ველში ჩასმა ქმნის პროფილს, რომელიც იშიფრება და შემდეგ არაფერს აკეთებს. ხელსაწყოები ამას ვერ დაიჭერენ, რადგან ორივე ველი უბრალოდ სტრიქონია. WireGuard-ის სწრაფი დაწყება ერთ ხაზში აჩვენებს შექმნისა და გამოყვანის ჯაჭვს.
ერთი მოწყობილობა, ერთი წყვილის ჩანაწერი
სადაც სერვისი იძლევა საშუალებას, თითოეულ მოწყობილობას საკუთარი წყვილის იდენტობა უნდა ჰქონდეს. ლეპტოპის სრული პროფილის ტელეფონზე ჩასმა ბუნდოვანს ხდის, რომელ მოწყობილობას აქვს ეს იდენტობა სერვერზე, და ართულებს ერთი დაკარგული ტელეფონის გაუქმებას. თუ პირადი გასაღები გაიჟონა, წაშალეთ წყვილის ძველი ნებართვა სერვერზე და მოამზადეთ შემცვლელი. ლოკალური ფაილის წაშლა სერვერის ჩანაწერს არ შლის, და ახალი კლიენტის გასაღები არავის ეხმარება, სანამ სერვერი მის საჯარო ნახევარს არ იცნობს.
მოწყობილობიდან საჯარო გასაღებამდე რუკა მისამართების სიის გვერდით შეინახეთ. სწორედ ეს სია აქცევს გაუქმებას ორწუთიან საქმედ მთელი შუადღის ნაცვლად.
რა მაინც ფუჭდება ხელის ჩამორთმევის შემდეგ
გასაღებების წყვილები წყვილებს იდენტიფიცირებენ, ისინი ქსელის ქცევას არ წყვეტენ. AllowedIPs მისამართების დიაპაზონებს წყვილს უკავშირებს, ხოლო მის გარშემო მარშრუტებს კლიენტი ან გამართვის ხელსაწყო მართავს. სიმპტომი ჩვეულებრივ ამბობს, რომელი შრე უნდა გაიხსნას შემდეგ:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS შეიძლება ჩავარდეს მას შემდეგ, რაც ორივე წყვილმა სწორად გაიარა ავთენტიფიკაცია, და აპლიკაცია შეიძლება ჩავარდეს მაშინ, როცა თავად გვირაბი ჯანმრთელია, ამიტომ მომუშავე ხელის ჩამორთმევა დიაგნოზის დასასრული არ არის. გასაღებები ასევე არაფერს ამბობენ ოპერატორის ჟურნალის პრაქტიკაზე ან იმაზე, ცნობს თუ არა საიტი თქვენს ანგარიშს, და ეს კითხვები სხვა ადგილს ეკუთვნის. გადადით ქსელის შრეებზე, როცა ოთხი შემოწმება გაივლის, რადგან დაკარგული გასაღები შენიღბული მარშრუტიზაციის პრობლემა არ არის.