Privaten Schlëssel hei, ëffentleche Schlëssel do: WireGuard-Schlësselen
Ären private Schlëssel bleift op Ärem Apparat; den Peer-Andrag hält den ëffentleche Schlëssel vun der anerer Säit. Deelt just déi ëffentlech Halschent, a gitt all Apparat seng eege Identitéit.
Déi meescht selwer gebaute WireGuard-Feeler komme dorop eraus, wéi ee Schlëssel wouhi geroden ass. Den Interface-Abschnitt dréit de private Schlëssel vum Apparat, deen Dir konfiguréiert, während e Peer-Abschnitt den ëffentleche Schlëssel vun der Maschinn um aneren Enn dréit. Dës Halschent ze vertauschen, oder déi falsch anzefüügen, gëtt en Handshake deen ni fäerdeg gëtt an e Log deen ni e Schlëssel nennt. Maacht déi véier Kontrollen hei ënnen der Rei no, ier Dir AllowedIPs oder DNS beréiert.
Zwee Schlësselen, zwou Richtungen
E private Schlëssel gehéiert zu genee engem Apparat a bleift am Interface-Abschnitt vun deem Apparat. Seng ëffentlech Halschent ass dat, wat all aneren Peer brauch fir den Apparat ze erkennen, an d’Instrumenter leeden se of, amplaz se ze erfannen. Um Server erschéngt den ëffentleche Schlëssel vun Ärem Apparat als Peer-Andrag; op Ärem Apparat hält den ëffentleche Schlëssel vum Server déi Roll. Wann een d’Konfiguratioun haart an dësen Ausdréck virliest, da fänkt een déi meescht Verwiesslungen, ier se en Handshake erreechen.
Den Uerder wg dréckt aus, wat den lokalen Interface tatsächlech benotzt, inklusiv béid ëffentlech Schlësselen. Doduercher ass et de séierste Wee, e Konfiguratiounsfeeler vun engem Verbindungsproblem ze trennen:
wg show
wg show interfacesDéi éischt Ausgab listet all Peer mat sengem ëffentleche Schlëssel, dem Endpunkt deen en d’lescht benotzt huet an dem Alter vu sengem leschten Handshake. En Handshake-Alter vun ni op enger Säit an ee rezenten op der anerer deit op e Schlëssel deen nëmmen ee Enn akzeptéiert huet. Den zweeten Uerder nennt d’Interfacen, déi Dir weider kënnt ënnersichen.
Wat deelen a wat ni deelen
En ëffentleche Schlëssel ass dofir geduecht, iwwerginn ze ginn, obwuel en nach ëmmer eng Apparatbezéiung identifizéiert, dofir ass et anescht, en dem Administrateur ze schécken deen en ugefrot huet, wéi en ze verëffentlechen. E private Schlëssel verléisst ni den Apparat deen en erstallt huet. En exportéierte Profil oder e QR-Code hält déi ganz Konfiguratioun inklusiv deem private Schlëssel, also ass béid net sécher fir weiderzeginn, an den Text an engem Bild ze verstoppen ännert näischt. Virdeelschlësselen sinn optional a genee esou geheim, an béid Enner mussen deeselwechte Wäert droen, soss hält den Handshake bei deem Schrëtt un.
Nach en Ënnerscheed ass wäert, kloer ze soen: en Endpunkt ass eng Adress an e Port, ni e Schlëssel. En ëffentleche Schlëssel an d’Endpunktfeld ze setzen, oder eng Adress an e Schlësselfeld, gëtt e Profil deen analyséiert gëtt an duerno näischt mécht. D’Instrumenter fänken dat net, well béid Felder just Zeecheketten sinn. Den WireGuard-Schnellstart weist d’Kette vum Erstellen an Ofleeden an enger Zeil.
Een Apparat, een Peer-Andrag
Wou de Service et erlaabt, sollt all Apparat seng eegen Peer-Identitéit droen. De komplette Profil vun engem Laptop op en Telefon ze setzen verwëscht, wéi en Apparat déi Identitéit um Server hält, an mécht et méi schwéier, een eenzegen verluerenen Handy ze widderruffen. Wann e private Schlëssel leckt, entfernt déi al Peer-Autorisatioun um Server a beschaaft en Ersatz. Déi lokal Datei ze läschen entfernt den Andrag um Server net, an en neie Client-Schlëssel hëlleft keen, bis de Server seng ëffentlech Halschent kennt.
Hält d’Zouuerdnung vum Apparat zum ëffentleche Schlëssel nieft der Adresslëscht. Déi Lëscht ass et, déi aus enger Widderruffung eng Aufgab vun zwou Minutten amplaz engem ganzen Nomëtteg mécht.
Wat nach no dem Handshake feelt
Schlësselpaar identifizéieren Peeren; se entscheeden net iwwer d’Netzwierkverhalen. AllowedIPs verbënnt Adressberäicher mat engem Peer, an d’Routen ronderëm geréiert de Client oder d’Arichtinstrument. D’Symptom seet meeschtens, wéi eng Schicht als nächst opzemaachen ass:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS ka feelen, nodeem béid Peeren sech korrekt authentifizéiert hunn, an eng Applikatioun ka feelen, während den Tunnel selwer gesond ass, also ass en funktionéierende Handshake net d’Enn vun der Diagnos. Schlësselen soen och näischt iwwer d’Logpraxis vun engem Bedreiwer oder doriwwer, ob eng Websäit Äre Kont erkennt, an déi Froen gehéieren anzwousch anescht. Gitt op d’Netzwierkschichten, soubal déi véier Kontrollen duerch sinn, well e feelende Schlëssel ass kee getarnte Routingproblem.