Privatus raktas čia, viešasis raktas ten: WireGuard raktai
Jūsų privatus raktas lieka jūsų įrenginyje; partnerio įrašas laiko kitos pusės viešąjį raktą. Bendrinkite tik viešąją pusę ir suteikite kiekvienam įrenginiui savo tapatybę.
Dauguma rankiniu būdu sukonstruotų WireGuard gedimų susiveda į tai, kuris raktas kur pateko. Sąsajos skyriuje yra įrenginio, kurį konfigūruojate, privatus raktas, o partnerio skyriuje – mašinos kitame gale viešasis raktas. Šių pusių sukeitimas arba neteisingos įklijavimas sukuria rankos paspaudimą, kuris niekada nepasibaigia, ir žurnalą, kuris niekada neįvardija rakto. Atlikite keturis patikrinimus žemiau iš eilės, prieš liesdami AllowedIPs arba DNS.
Du raktai, dvi kryptys
Privatus raktas priklauso tiksliai vienam įrenginiui ir lieka to įrenginio sąsajos skyriuje. Jo viešoji pusė yra tai, ko reikia kiekvienam kitam partneriui įrenginiui atpažinti, o įrankiai ją išveda, o ne išgalvoja. Serveryje jūsų įrenginio viešasis raktas rodomas kaip partnerio įrašas; jūsų įrenginyje tą vaidmenį atlieka serverio viešasis raktas. Konfigūracijos skaitymas garsiai šiais terminais pagauna daugumą painiavos dar prieš jai pasiekiant rankos paspaudimą.
Komanda wg išspausdina, ką vietinė sąsaja iš tikrųjų naudoja, įskaitant abu viešuosius raktus. Todėl tai greičiausias būdas atskirti konfigūracijos klaidą nuo ryšio problemos:
wg show
wg show interfacesPirmoji išvestis išvardija kiekvieną partnerį su jo viešuoju raktu, paskutinį naudotą galinį tašką ir paskutinio rankos paspaudimo amžių. Rankos paspaudimo amžius „niekada“ vienoje pusėje ir nesenas kitoje rodo raktą, kurį priėmė tik vienas galas. Antroji komanda įvardija sąsajas, kurias galite ištirti toliau.
Ką dalytis ir ko niekada
Viešasis raktas skirtas perduoti, nors jis vis dar identifikuoja įrenginių ryšį, todėl jo siuntimas administratoriui, kuris jo paprašė, skiriasi nuo jo paskelbimo. Privatus raktas niekada nepalieka įrenginio, kuris jį sugeneravo. Eksportuotas profilis arba QR kodas laiko visą konfigūraciją, įskaitant tą privatų raktą, tad nė vienas iš jų nėra saugus perduoti, o teksto slėpimas paveikslėlyje nieko nekeičia. Iš anksto bendrinami raktai yra neprivalomi ir vienodai slapti, ir abu galai turi turėti tą pačią reikšmę, kitaip rankos paspaudimas sustoja tame etape.
Dar vieną skirtumą verta pasakyti tiesiai: galinis taškas yra adresas ir prievadas, niekada raktas. Viešojo rakto įklijavimas į galinio taško lauką arba adreso į rakto lauką sukuria profilį, kuris išanalizuojamas ir tada nieko nedaro. Įrankiai to nepagaus, nes abu laukai yra tik eilutės. WireGuard greitas startas parodo generavimo ir išvedimo grandinę vienoje eilutėje.
Vienas įrenginys, vienas partnerio įrašas
Kur paslauga leidžia, kiekvienas įrenginys turėtų turėti savo partnerio tapatybę. Nešiojamojo kompiuterio viso profilio įklijavimas į telefoną sulieja, kuris įrenginys turi tą tapatybę serveryje, ir apsunkina vieno pamesto telefono atšaukimą. Jei privatus raktas nuteka, pašalinkite seną partnerio leidimą serveryje ir parūpinkite pakaitalą. Vietinio failo ištrynimas nepašalina serverio įrašo, o naujas kliento raktas niekam nepadeda, kol serveris nežino jo viešosios pusės.
Laikykite įrenginio ir viešojo rakto atitikimą šalia adresų sąrašo. Būtent tas sąrašas paverčia atšaukimą dviejų minučių užduotimi, o ne visu popiete.
Kas vis tiek nepavyksta po rankos paspaudimo
Raktų poros identifikuoja partnerius; jos nenusprendžia tinklo elgsenos. AllowedIPs susieja adresų diapazonus su partneriu, o maršrutus aplink tai tvarko klientas arba sąrankos įrankis. Simptomas paprastai pasako, kurį sluoksnį atidaryti toliau:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS gali nepavykti po to, kai abu partneriai teisingai autentifikuojasi, o programa gali nepavykti, kai pats tunelis yra sveikas, tad veikiantis rankos paspaudimas nėra diagnozės pabaiga. Raktai taip pat nieko nesako apie operatoriaus žurnalo praktiką ar tai, ar svetainė atpažįsta jūsų paskyrą, ir tie klausimai priklauso kitur. Pereikite prie tinklo sluoksnių, kai keturi patikrinimai praeina, nes trūkstamas raktas nėra užmaskuota maršrutizavimo problema.