Жеке кілт осында, ашық кілт онда: WireGuard кілттері
Жеке кілтіңіз өз құрылғыңызда қалады; теңдес жазбасы екінші жақтың ашық кілтін ұстайды. Тек ашық жартысын бөлісіп, әр құрылғыға өз тұлғасын беріңіз.
Қолмен жиналған WireGuard ақауларының көбі қай кілттің қайда кеткеніне тіреледі. Интерфейс бөлігінде сіз баптап жатқан құрылғының жеке кілті болады, ал теңдес бөлігінде екінші ұштағы машинаның ашық кілті тұрады. Осы жартыларды алмастыру немесе қатесін қою ешқашан бітпейтін қол алысуды және ешқашан кілт атамайтын журналды тудырады. AllowedIPs немесе DNS-ке тиюден бұрын төмендегі төрт тексеруді ретімен орындаңыз.
Екі кілт, екі бағыт
Жеке кілт дәл бір құрылғыға тиесілі және сол құрылғының интерфейс бөлігінде қалады. Оның ашық жартысы — әрбір басқа теңдестің құрылғыны тануы үшін қажет нәрсе, ал құралдар оны ойлап таппайды, туынды ретінде шығарады. Серверде құрылғыңыздың ашық кілті теңдес жазбасы ретінде көрінеді; құрылғыңызда бұл рөлді сервердің ашық кілті атқарады. Конфигурацияны осы терминдермен дауыстап оқу көптеген шатасуды қол алысуға жетпей тұрып ұстайды.
wg командасы жергілікті интерфейстің шын мәнінде нені қолданып жатқанын, екі ашық кілтті қоса, басып шығарады. Сондықтан бұл конфигурация қатесін қосылым мәселесінен ажыратудың ең жылдам жолы:
wg show
wg show interfacesБірінші шығыс әр теңдесті оның ашық кілтімен, соңғы қолданған шеткі нүктесімен және соңғы қол алысуының жасымен тізіп шығады. Бір жақта «ешқашан» болған қол алысу жасы, екінші жақта жақында болғаны тек бір ұш қабылдаған кілтті меңзейді. Екінші команда әрі қарай тексере алатын интерфейстерді атайды.
Нені бөлісу керек және нені ешқашан
Ашық кілт тапсыруға арналған, дегенмен ол әлі де құрылғылар қатынасын сәйкестендіреді, сондықтан оны сұраған әкімшіге жіберу оны жариялаудан өзгеше. Жеке кілт оны жасаған құрылғыдан ешқашан шықпайды. Экспортталған профиль немесе QR коды сол жеке кілтті қоса, бүкіл конфигурацияны ұстайды, сондықтан екеуі де беруге қауіпсіз емес, ал мәтінді суреттің ішіне жасыру ештеңе өзгертпейді. Алдын ала бөлісілген кілттер міндетті емес және дәл сондай құпия, екі ұш та бір мәнді ұстауы керек, әйтпесе қол алысу сол кезеңде тоқтайды.
Тағы бір айырмашылықты ашық айтқан жөн: шеткі нүкте — мекенжай мен порт, ешқашан кілт емес. Ашық кілтті шеткі нүкте өрісіне, немесе мекенжайды кілт өрісіне қою талданатын, содан кейін ештеңе істемейтін профиль жасайды. Құралдар мұны ұстамайды, өйткені екі өріс те жай жолдар. WireGuard жылдам бастауы жасау және шығару тізбегін бір жолда көрсетеді.
Бір құрылғы, бір теңдес жазбасы
Қызмет рұқсат еткен жерде әр құрылғы өз теңдес тұлғасын ұстауы керек. Ноутбуктің толық профилін телефонға қою серверде қай құрылғы сол тұлғаны ұстап тұрғанын бұлдыратады және жоғалған бір телефонды кері қайтаруды қиындатады. Егер жеке кілт ағып кетсе, сервердегі ескі теңдес рұқсатын алып тастап, орынбасарын дайындаңыз. Жергілікті файлды жою сервер жазбасын жоймайды, ал жаңа клиент кілті сервер оның ашық жартысын білмейінше ешкімге көмектеспейді.
Құрылғыдан ашық кілтке дейінгі сәйкестікті мекенжайлар тізімінің қасында ұстаңыз. Кері қайтаруды тұтас түстен кейін емес, екі минуттық іске айналдыратын — сол тізім.
Қол алысудан кейін де не сәтсіз болады
Кілт жұптары теңдестерді сәйкестендіреді; олар желі мінез-құлқын шешпейді. AllowedIPs мекенжай ауқымдарын теңдеспен байланыстырады, ал айналасындағы маршруттарды клиент немесе баптау құралы басқарады. Симптом әдетте қай қабатты ашу керектігін айтады:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
Екі теңдес дұрыс аутентификацияланғаннан кейін де DNS сәтсіз болуы мүмкін, ал туннельдің өзі сау болса да қолданба сәтсіз болуы мүмкін, сондықтан жұмыс істеген қол алысу диагностиканың соңы емес. Кілттер оператордың журнал жүргізу тәжірибесі немесе сайттың сіздің тіркелгіңізді танитыны туралы да ештеңе айтпайды, ал бұл сұрақтар басқа жерге жатады. Төрт тексеру өткен соң желі қабаттарына өтіңіз, өйткені жоқ кілт — жасырынған маршруттау мәселесі емес.