Приватен клуч овде, јавен клуч таму: WireGuard клучеви
Вашиот приватен клуч останува на вашиот уред; записот за партнер го чува јавниот клуч на другата страна. Споделете само јавната половина и дајте му на секој уред сопствен идентитет.
Повеќето рачно составени WireGuard неуспеси се сведуваат на тоа кој клуч каде завршил. Делот за интерфејс го носи приватниот клуч на уредот што го конфигурирате, додека делот за партнер го носи јавниот клуч на машината на другиот крај. Замената на тие половини, или вметнувањето погрешна, создава ракување што никогаш не завршува и дневник што никогаш не именува клуч. Изведете ги четирите проверки подолу по ред пред да допрете AllowedIPs или DNS.
Два клуча, две насоки
Приватниот клуч припаѓа на точно еден уред и останува во делот за интерфејс на тој уред. Неговата јавна половина е она што му е потребно на секој друг партнер за да го препознае уредот, а алатките ја изведуваат наместо да ја измислуваат. На серверот, јавниот клуч на вашиот уред се појавува како запис за партнер; на вашиот уред, таа улога ја има јавниот клуч на серверот. Читањето на конфигурацијата гласно со тие термини фаќа повеќето забуни пред да стигнат до ракување.
Командата wg испишува што всушност користи локалниот интерфејс, вклучувајќи ги двата јавни клуча. Затоа таа е најбрзиот начин да се одвои грешка во конфигурацијата од проблем со поврзувањето:
wg show
wg show interfacesПрвиот излез го наведува секој партнер со неговиот јавен клуч, последната крајна точка што ја користел и возраста на неговото последно ракување. Возраст на ракување „никогаш“ на едната страна и неодамнешна на другата укажува на клуч што го прифатил само едниот крај. Втората команда ги именува интерфејсите што можете дополнително да ги испитате.
Што да се сподели и што никогаш
Јавниот клуч е наменет за предавање, иако и понатаму идентификува однос меѓу уреди, затоа неговото испраќање до администраторот што го побарал се разликува од неговото објавување. Приватниот клуч никогаш не го напушта уредот што го создал. Извезен профил или QR код ја содржи целата конфигурација, вклучувајќи го тој приватен клуч, па ниту едно од двете не е безбедно за предавање, а криењето на текстот во слика не менува ништо. Претходно споделените клучеви се опционални и еднакво тајни, и двата краја мора да ја носат истата вредност, инаку ракувањето застанува во таа фаза.
Уште една разлика вреди да се каже отворено: крајната точка е адреса и порта, никогаш клуч. Вметнувањето јавен клуч во полето за крајна точка, или адреса во поле за клуч, создава профил што се парсира и потоа не прави ништо. Алатките нема да го фатат, бидејќи двете полиња се само низи. Брзиот почеток на WireGuard ја покажува низата за создавање и изведување во еден ред.
Еден уред, еден запис за партнер
Каде што услугата го дозволува, секој уред треба да носи сопствен идентитет на партнер. Вметнувањето на целосниот профил на преносен компјутер во телефон го заматува тоа кој уред го држи тој идентитет на серверот и го отежнува отповикувањето на еден изгубен телефон. Ако приватен клуч протече, отстранете го старото овластување за партнер на серверот и обезбедете замена. Бришењето на локалната датотека не го отстранува записот на серверот, а нов клуч за клиент не му помага никому додека серверот не ја знае неговата јавна половина.
Држете ја врската од уред до јавен клуч до списокот со адреси. Токму тој список прави отповикувањето да биде работа од две минути наместо цело попладне.
Што и понатаму не успева по ракувањето
Паровите клучеви ги идентификуваат партнерите; тие не одлучуваат за однесувањето на мрежата. AllowedIPs ги поврзува опсезите на адреси со партнер, а маршрутите околу тоа ги управува клиентот или алатката за поставување. Симптомот обично кажува кој слој да се отвори следен:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS може да не успее откако двата партнери правилно ќе се автентифицираат, а апликација може да не успее додека самиот тунел е здрав, па работно ракување не е крајот на дијагнозата. Клучевите исто така не кажуваат ништо за практиката на евидентирање на операторот или за тоа дали некоја страница го препознава вашиот профил, и тие прашања припаѓаат на друго место. Преминете на мрежните слоеви откако четирите проверки ќе поминат, бидејќи клучот што недостасува не е маскиран проблем со рутирање.