Privātā atslēga šeit, publiskā atslēga tur: WireGuard atslēgas
Jūsu privātā atslēga paliek jūsu ierīcē; partnera ieraksts glabā otras puses publisko atslēgu. Kopīgojiet tikai publisko pusi un piešķiriet katrai ierīcei savu identitāti.
Lielākā daļa ar rokām būvētu WireGuard kļūdu noved pie tā, kura atslēga kur nonāca. Saskarnes sadaļā ir ierīces, kuru konfigurējat, privātā atslēga, bet partnera sadaļā — mašīnas otrā galā publiskā atslēga. Šo pušu samainīšana vai nepareizās ielīmēšana rada rokas spiedienu, kas nekad nebeidzas, un žurnālu, kas nekad nenosauc atslēgu. Veiciet četras pārbaudes zemāk pēc kārtas, pirms aiztiekat AllowedIPs vai DNS.
Divas atslēgas, divi virzieni
Privātā atslēga pieder tieši vienai ierīcei un paliek šīs ierīces saskarnes sadaļā. Tās publiskā puse ir tas, kas vajadzīgs ikvienam citam partnerim, lai atpazītu ierīci, un rīki to atvasina, nevis izdomā. Serverī jūsu ierīces publiskā atslēga parādās kā partnera ieraksts; jūsu ierīcē šo lomu pilda servera publiskā atslēga. Konfigurācijas skaļa nolasīšana šādos terminos pārķer lielāko daļu pārpratumu pirms tie sasniedz rokas spiedienu.
Komanda wg izdrukā, ko vietējā saskarne faktiski izmanto, ieskaitot abas publiskās atslēgas. Tāpēc tā ir ātrākais veids, kā atdalīt konfigurācijas kļūdu no savienojuma problēmas:
wg show
wg show interfacesPirmā izvade uzskaita katru partneri ar tā publisko atslēgu, pēdējo izmantoto galapunktu un pēdējā rokas spiediena vecumu. Rokas spiediena vecums «nekad» vienā pusē un nesen otrā norāda uz atslēgu, kuru pieņēma tikai viens gals. Otrā komanda nosauc saskarnes, kuras varat pārbaudīt tālāk.
Ko kopīgot un ko nekad
Publiskā atslēga ir paredzēta nodošanai, lai gan tā joprojām identificē ierīču attiecības, tāpēc tās nosūtīšana administratoram, kurš to lūdza, atšķiras no tās publicēšanas. Privātā atslēga nekad nepamet ierīci, kas to ģenerēja. Eksportēts profils vai QR kods glabā visu konfigurāciju, ieskaitot šo privāto atslēgu, tāpēc neviens no tiem nav drošs nodošanai tālāk, un teksta slēpšana attēlā neko nemaina. Iepriekš kopīgotas atslēgas ir neobligātas un tikpat slepenas, un abiem galiem jābūt vienādai vērtībai, citādi rokas spiediens apstājas tajā posmā.
Vēl vienu atšķirību ir vērts pateikt tieši: galapunkts ir adrese un ports, nekad atslēga. Publiskās atslēgas ielīmēšana galapunkta laukā vai adreses atslēgas laukā rada profilu, kas tiek parsēts un pēc tam neko nedara. Rīki to neuzķers, jo abi lauki ir tikai virknes. WireGuard ātrais starts parāda ģenerēšanas un atvasināšanas ķēdi vienā rindā.
Viena ierīce, viens partnera ieraksts
Kur pakalpojums to atļauj, katrai ierīcei jābūt savai partnera identitātei. Portatīvā datora pilna profila ielīmēšana telefonā izplūdina, kura ierīce glabā šo identitāti serverī, un apgrūtina viena pazaudēta tālruņa atsaukšanu. Ja privātā atslēga noplūst, noņemiet serverī veco partnera atļauju un sagādājiet aizstājēju. Vietējā faila dzēšana nenoņem servera ierakstu, un jauna klienta atslēga nevienam nepalīdz, kamēr serveris nezina tās publisko pusi.
Turiet ierīces un publiskās atslēgas atbilstību blakus adrešu sarakstam. Tieši šis saraksts pārvērš atsaukšanu divu minūšu darbā, nevis visā pēcpusdienā.
Kas joprojām neizdodas pēc rokas spiediena
Atslēgu pāri identificē partnerus; tie nenosaka tīkla uzvedību. AllowedIPs saista adrešu diapazonus ar partneri, un maršrutus ap to pārvalda klients vai iestatīšanas rīks. Simptoms parasti pasaka, kuru slāni atvērt tālāk:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS var neizdoties pēc tam, kad abi partneri ir pareizi autentificējušies, un lietojumprogramma var neizdoties, kamēr pats tunelis ir vesels, tāpēc strādājošs rokas spiediens nav diagnostikas beigas. Atslēgas arī neko nepasaka par operatora žurnālēšanas praksi vai to, vai vietne atpazīst jūsu kontu, un šie jautājumi pieder citur. Pārejiet pie tīkla slāņiem, kad četras pārbaudes ir izturētas, jo trūkstoša atslēga nav maskēta maršrutēšanas problēma.