खाजगी किल्ली इथे, सार्वजनिक किल्ली तिथे: WireGuard किल्ल्या

हाताने बनवलेल्या WireGuard मधील बहुतेक अपयश कोणती किल्ली कुठे गेली यावरच येऊन थांबते। इंटरफेस विभागात तुम्ही कॉन्फिगर करत असलेल्या डिव्हाइसची खाजगी किल्ली असते, तर पीअर विभागात दुसऱ्या टोकाच्या मशीनची सार्वजनिक किल्ली असते। हे अर्धे भाग बदलल्याने, किंवा चुकीचा भाग पेस्ट केल्याने, कधीही पूर्ण न होणारे हँडशेक आणि कधीही किल्लीचे नाव न घेणारा लॉग तयार होतो। AllowedIPs किंवा DNS ला हात लावण्यापूर्वी खालील चार तपासण्या क्रमाने करा।

दोन किल्ल्या, दोन दिशा

खाजगी किल्ली नेमकी एकाच डिव्हाइसची असते आणि ती त्याच डिव्हाइसच्या इंटरफेस विभागात राहते। तिचा सार्वजनिक अर्धा भाग म्हणजे प्रत्येक दुसऱ्या पीअरला डिव्हाइस ओळखण्यासाठी लागणारी गोष्ट, आणि साधने ती शोधून काढत नाहीत, तर व्युत्पन्न करतात। सर्व्हरवर तुमच्या डिव्हाइसची सार्वजनिक किल्ली पीअर नोंद म्हणून दिसते; तुमच्या डिव्हाइसवर सर्व्हरची सार्वजनिक किल्ली ती भूमिका बजावते। या संज्ञांमध्ये कॉन्फिग मोठ्याने वाचल्यास बहुतेक गोंधळ हँडशेकपर्यंत पोहोचण्यापूर्वीच पकडला जातो।

wg कमांड स्थानिक इंटरफेस प्रत्यक्षात काय वापरत आहे ते दोन्ही सार्वजनिक किल्लींसह छापते। त्यामुळे कॉन्फिगरेशनची चूक आणि कनेक्टिव्हिटीची अडचण वेगळी करण्याचा सर्वात जलद मार्ग तोच आहे:

wg show
wg show interfaces

पहिले आउटपुट प्रत्येक पीअरची सार्वजनिक किल्ली, शेवटचा वापरलेला एंडपॉइंट आणि शेवटच्या हँडशेकचे वय यासह यादी करते। एका बाजूला «कधीच नाही» आणि दुसऱ्या बाजूला अलीकडील हँडशेक वय असल्यास ती किल्ली फक्त एका टोकाने स्वीकारली आहे असे सूचित होते। दुसरी कमांड पुढे तपासता येणाऱ्या इंटरफेसची नावे सांगते।

काय शेअर करावे आणि काय कधीच नाही

सार्वजनिक किल्ली सुपूर्द करण्यासाठी असते, तरी ती डिव्हाइस संबंध ओळखते, म्हणून ती मागणाऱ्या प्रशासकाला पाठवणे आणि ती प्रकाशित करणे वेगळे आहे। खाजगी किल्ली ती तयार करणारे डिव्हाइस कधीच सोडत नाही। निर्यात केलेला प्रोफाइल किंवा QR कोड त्या खाजगी किल्लीसह संपूर्ण कॉन्फिगरेशन ठेवतो, त्यामुळे दोन्ही हातोहात देण्यास सुरक्षित नाहीत, आणि चित्रात मजकूर लपवल्याने काहीही बदलत नाही। पूर्वी शेअर केलेल्या किल्ल्या ऐच्छिक आणि तितक्याच गुप्त असतात, आणि दोन्ही टोकांना समान मूल्य असणे आवश्यक आहे, अन्यथा त्या टप्प्यावर हँडशेक थांबतो।

अजून एक फरक सरळ सांगावा: एंडपॉइंट म्हणजे एक पत्ता आणि एक पोर्ट, कधीच किल्ली नाही। एंडपॉइंट फील्डमध्ये सार्वजनिक किल्ली, किंवा किल्ली फील्डमध्ये पत्ता पेस्ट केल्यास विश्लेषण होऊन नंतर काहीही न करणारे प्रोफाइल तयार होते। दोन्ही फील्ड फक्त स्ट्रिंग असल्याने साधने हे पकडणार नाहीत। WireGuard ची झटपट सुरुवात एका ओळीत तयार करणे आणि व्युत्पन्न करण्याची साखळी दाखवते।

एक डिव्हाइस, एक पीअर नोंद

जिथे सेवा परवानगी देते तिथे प्रत्येक डिव्हाइसने स्वतःची पीअर ओळख ठेवावी। लॅपटॉपचे संपूर्ण प्रोफाइल फोनवर पेस्ट केल्यास सर्व्हरवर कोणते डिव्हाइस ती ओळख ठेवते हे अस्पष्ट होते आणि हरवलेले एक हँडसेट रद्द करणे कठीण होते। खाजगी किल्ली गळली तर सर्व्हरवरील जुनी पीअर परवानगी काढून टाका आणि बदलीची व्यवस्था करा। स्थानिक फाइल हटवल्याने सर्व्हरची नोंद हटत नाही, आणि सर्व्हरला नवीन क्लायंट किल्लीचा सार्वजनिक अर्धा भाग माहीत होईपर्यंत ती कोणालाही उपयोगी पडत नाही।

डिव्हाइसपासून सार्वजनिक किल्लीपर्यंतचा नकाशा पत्त्यांच्या यादीजवळ ठेवा। रद्द करणे हे पूर्ण दुपारऐवजी दोन मिनिटांचे काम करणारी तीच यादी आहे।

हँडशेकनंतरही काय अयशस्वी होते

किल्लीच्या जोड्या पीअर ओळखतात; त्या नेटवर्कचे वर्तन ठरवत नाहीत। AllowedIPs पत्ता श्रेणी एका पीअरशी जोडते, आणि त्याभोवतीचे मार्ग क्लायंट किंवा सेटअप साधन सांभाळते। लक्षण सहसा पुढे कोणता स्तर उघडायचा हे सांगते:

दोन्ही पीअर योग्यरित्या प्रमाणित झाल्यावरही DNS अयशस्वी होऊ शकते, आणि बोगदाच स्वतः निरोगी असतानाही अनुप्रयोग अयशस्वी होऊ शकतो, म्हणून कार्यरत हँडशेक निदानाचा शेवट नाही। किल्ल्या ऑपरेटरच्या लॉगिंग पद्धतीबद्दल किंवा वेबसाइट तुमचे खाते ओळखते का याबद्दलही काहीही सांगत नाहीत, आणि ते प्रश्न दुसरीकडेचे आहेत। चारही तपासण्या उत्तीर्ण झाल्यावर नेटवर्क स्तरांकडे जा, कारण गायब किल्ली ही छद्म केलेली राउटिंग समस्या नाही।