Kunci peribadi di sini, kunci awam di sana: kunci WireGuard
Kunci peribadi anda kekal pada peranti anda; entri rakan menyimpan kunci awam pihak sebelah. Kongsi hanya separuh awam, dan beri setiap peranti identitinya sendiri.
Kebanyakan kegagalan WireGuard yang dibina sendiri berpunca daripada kunci mana pergi ke mana. Bahagian antara muka membawa kunci peribadi peranti yang anda konfigurasikan, manakala bahagian rakan membawa kunci awam mesin di hujung sana. Menukar separuh itu, atau menampal yang salah, menghasilkan jabat tangan yang tidak pernah selesai dan log yang tidak pernah menamakan kunci. Lakukan empat semakan di bawah mengikut urutan sebelum menyentuh AllowedIPs atau DNS.
Dua kunci, dua arah
Kunci peribadi hanya milik satu peranti dan kekal dalam bahagian antara muka peranti itu. Separuh awamnya ialah apa yang diperlukan setiap rakan lain untuk mengenali peranti itu, dan alat membinanya sebagai terbitan, bukan mengarangnya. Pada pelayan, kunci awam peranti anda muncul sebagai entri rakan; pada peranti anda, kunci awam pelayan memegang peranan itu. Membaca konfigurasi dengan kuat dalam istilah itu menangkap kebanyakan kekeliruan sebelum ia sampai ke jabat tangan.
Perintah wg mencetak apa yang sebenarnya digunakan oleh antara muka tempatan, termasuk kedua-dua kunci awam. Itu menjadikannya cara terpantas memisahkan kesilapan konfigurasi daripada masalah sambungan:
wg show
wg show interfacesOutput pertama menyenaraikan setiap rakan dengan kunci awamnya, titik hujung yang terakhir digunakan dan umur jabat tangan terakhirnya. Umur jabat tangan «tidak pernah» di satu pihak dan yang baru di pihak lain menunjuk kepada kunci yang hanya diterima oleh satu hujung. Perintah kedua menamakan antara muka yang boleh anda periksa lebih lanjut.
Apa yang dikongsi dan apa yang tidak pernah
Kunci awam memang untuk diserahkan, walaupun ia masih mengenal pasti hubungan peranti, sebab itu menghantarnya kepada pentadbir yang memintanya berbeza daripada menerbitkannya. Kunci peribadi tidak pernah meninggalkan peranti yang menjananya. Profil yang dieksport atau kod QR menyimpan seluruh konfigurasi termasuk kunci peribadi itu, jadi kedua-duanya tidak selamat untuk dipindahkan, dan menyembunyikan teks di dalam gambar tidak mengubah apa-apa. Kunci yang dikongsi lebih awal adalah pilihan dan sama rahsianya, dan kedua-dua hujung mesti membawa nilai yang sama atau jabat tangan berhenti pada peringkat itu.
Satu lagi perbezaan wajar dikatakan terus: titik hujung ialah alamat dan port, tidak pernah kunci. Menampal kunci awam dalam medan titik hujung, atau alamat dalam medan kunci, menghasilkan profil yang dihuraikan dan kemudian tidak melakukan apa-apa. Alat tidak akan menangkapnya, kerana kedua-dua medan hanyalah rentetan. Permulaan pantas WireGuard menunjukkan saluran jana-dan-terbit dalam satu baris.
Satu peranti, satu entri rakan
Di mana perkhidmatan mengizinkan, setiap peranti patut membawa identiti rakan sendiri. Menampal profil lengkap komputer riba pada telefon mengaburkan peranti mana yang memegang identiti itu pada pelayan dan menjadikan pembatalan satu telefon yang hilang lebih sukar. Jika kunci peribadi bocor, hapuskan kebenaran rakan lama pada pelayan dan sediakan pengganti. Memadam fail tempatan tidak menghapuskan entri pelayan, dan kunci klien baharu tidak membantu sesiapa sehingga pelayan mengenali separuh awamnya.
Simpan pemetaan peranti kepada kunci awam di sebelah senarai alamat. Senarai itulah yang menjadikan pembatalan tugas dua minit dan bukannya satu petang.
Apa yang masih gagal selepas jabat tangan
Pasangan kunci mengenal pasti rakan; ia tidak menentukan tingkah laku rangkaian. AllowedIPs mengaitkan julat alamat dengan rakan, dan laluan di sekelilingnya diuruskan oleh klien atau alat persediaan. Gejala biasanya memberitahu lapisan mana yang perlu dibuka seterusnya:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS boleh gagal selepas kedua-dua rakan disahkan dengan betul, dan aplikasi boleh gagal sementara terowong itu sendiri sihat, jadi jabat tangan yang berfungsi bukanlah penghujung diagnosis. Kunci juga tidak berkata apa-apa tentang amalan pencatatan pengendali atau sama ada sesebuah laman web mengenali akaun anda, dan soalan itu milik tempat lain. Beralih ke lapisan rangkaian apabila keempat-empat semakan lulus, kerana kunci yang hilang bukan masalah penghalaan yang menyamar.