Жеке ачкыч бул жерде, ачык ачкыч тигил жерде: WireGuard ачкычтары
Жеке ачкычыңыз өз түзмөгүңүздө калат; теңдеш жазуусу экинчи тараптын ачык ачкычын кармайт. Ачык жарымын гана бөлүшүп, ар бир түзмөккө өз инсандыгын бериңиз.
Кол менен куралган WireGuard кемчиликтеринин көбү кайсы ачкыч кайда кеткенине барып такалат. Интерфейс бөлүгүндө сиз жөндөп жаткан түзмөктүн жеке ачкычы болот, ал эми теңдеш бөлүгүндө экинчи учтагы машинанын ачык ачкычы турат. Ушул жарымдарды алмаштыруу же туура эмесин койу эч качан бүтпөгөн кол алышууну жана эч качан ачкычты атабаган журналды жаратат. AllowedIPs же DNS тийүүдөн мурун төмөнкү төрт текшерүүнү ирети менен аткарыңыз.
Эки ачкыч, эки багыт
Жеке ачкыч так бир түзмөккө таандык жана ошол түзмөктүн интерфейс бөлүгүндө калат. Анын ачык жарымы ар бир башка теңдешке түзмөктү таануу үчүн керек болгон нерсе, ал эми куралдар аны ойлоп таппастан, туунду катары чыгарат. Серверде түзмөгүңүздүн ачык ачкычы теңдеш жазуусу катары көрүнөт, ал эми түзмөгүңүздө бул ролду сервердин ачык ачкычы аткарат. Конфигурацияны ушул терминдер менен үн чыгарып окуу көптөгөн баш аламандыктарды кол алышууга жетпей туруп кармайт.
wg буйругу жергиликтүү интерфейс чындыгында эмнени колдонуп жатканын, эки ачык ачкычты кошуп басып чыгарат. Ошондуктан бул конфигурация катасын туташуу маселесинен ажыратуунун эң ылдам жолу:
wg show
wg show interfacesБиринчи чыгарылыш ар бир теңдешти анын ачык ачкычы, акыркы колдонгон четки чекити жана акыркы кол алышуусунун жашы менен тизмелейт. Бир жагында «эч качан» болгон кол алышуу жашы, экинчи жагында жакында болгону бир гана уч кабыл алган ачкычты көрсөтөт. Экинчи буйрук мындан ары текшере ала турган интерфейстерди атайт.
Эмнени бөлүшүү керек жана эмнени эч качан
Ачык ачкыч өткөрүп берүү үчүн арналган, бирок ал дагы эле түзмөктөрдүн мамилесин аныктайт, ошондуктан аны сураган администраторго жөнөтүү аны жарыялоодон башка. Жеке ачкыч аны жараткан түзмөктөн эч качан чыкпайт. Экспорттолгон профиль же QR код ошол жеке ачкычты кошуп, бүт конфигурацияны кармайт, ошондуктан экөө тең колдон колго өткөрүүгө коопсуз эмес, ал эми текстти сүрөттүн ичине жашыруу эч нерсени өзгөртпөйт. Алдын ала бөлүшүлгөн ачкычтар милдеттүү эмес жана ошондой эле жашыруун, эки уч тең бирдей маанини кармашы керек, антпесе кол алышуу ошол этапта токтойт.
Дагы бир айырманы ачык айтууга татыктуу: четки чекит — дарек жана порт, эч качан ачкыч эмес. Ачык ачкычты четки чекит талаасына, же даректи ачкыч талаасына койу талданат, анан эч нерсе кылбаган профиль жаратат. Куралдар муну кармабайт, анткени эки талаа тең жөн гана саптар. WireGuard тез баштоо жаратуу жана чыгаруу тизмегин бир сапта көрсөтөт.
Бир түзмөк, бир теңдеш жазуусу
Кызмат уруксат берген жерде ар бир түзмөк өз теңдеш инсандыгын кармашы керек. Ноутбуктун толук профилин телефонго койу серверде кайсы түзмөк ошол инсандыкты кармап турганын бүдөмүктөйт жана жоголгон бир телефонду жокко чыгарууну кыйындатат. Эгер жеке ачкыч агып кетсе, сервердеги эски теңдеш уруксатын алып салып, ордун толуктаңыз. Жергиликтүү файлды өчүрүү сервердин жазуусун өчүрбөйт, ал эми жаңы кардар ачкычы сервер анын ачык жарымын билмейинче эч кимге жардам бербейт.
Түзмөктөн ачык ачкычка чейинки шайкештикти даректер тизмесинин жанында кармаңыз. Жокко чыгарууну түшкө чейинкиге эмес, эки мүнөттүк ишке айландырган ошол тизме.
Кол алышуудан кийин да эмне ишке ашпайт
Ачкыч жуптары теңдештерди аныктайт; алар тармактын жүрүм-турумун чечпейт. AllowedIPs дарек диапазондорун теңдеш менен байланыштырат, ал эми айланасындагы маршруттарды кардар же жөндөө куралы башкарат. Симптом адатта кайсы катмарды ачууну айтат:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
Эки теңдеш туура аутентификациялангандан кийин да DNS ишке ашпай калышы мүмкүн, ал эми туннелдин өзү соо болгондо да колдонмо ишке ашпай калышы мүмкүн, ошондуктан иштеген кол алышуу диагностиканын аягы эмес. Ачкычтар оператордун журнал жүргүзүү тажрыйбасы же сайт сиздин эсебиңизди тааныйбы деген жөнүндө да эч нерсе айтпайт, ал эми бул суроолор башка жерге таандык. Төрт текшерүү өткөндөн кийин тармак катмарларына өтүңүз, анткени жок ачкыч жашырылган маршруттоо маселеси эмес.