Privat nøkkel her, offentlig nøkkel der: WireGuard-nøkler
Din private nøkkel blir på enheten din; peer-oppføringen holder den andre sidens offentlige nøkkel. Del bare den offentlige halvdelen, og gi hver enhet sin egen identitet.
De fleste håndbygde WireGuard-feil koker ned til hvilken nøkkel som havnet hvor. Grensesnittsdelen inneholder den private nøkkelen til enheten du konfigurerer, mens en peer-del inneholder den offentlige nøkkelen til maskinen i den andre enden. Bytter man disse halvdelene, eller limer inn feil, får man et håndtrykk som aldri fullføres og en logg som aldri navngir en nøkkel. Gå gjennom de fire kontrollene nedenfor i rekkefølge før du rører AllowedIPs eller DNS.
To nøkler, to retninger
En privat nøkkel tilhører nøyaktig én enhet og blir i grensesnittsdelen til den enheten. Dens offentlige halvdel er det hver annen peer trenger for å kjenne igjen enheten, og verktøyet utleder den i stedet for å finne den opp. På serveren vises enhetens offentlige nøkkel som en peer-oppføring; på enheten din har serverens offentlige nøkkel den rollen. Leser man en konfigurasjon høyt i disse begrepene, fanges de fleste forvekslingene før de når et håndtrykk.
Kommandoen wg skriver ut hva det lokale grensesnittet faktisk bruker, inkludert begge offentlige nøklene. Det gjør den til den raskeste måten å skille en konfigurasjonsfeil fra et tilkoblingsproblem:
wg show
wg show interfacesDen første utskriften lister hver peer med sin offentlige nøkkel, endepunktet den sist brukte og alderen på sitt siste håndtrykk. En håndtrykksalder på aldri i den ene enden og en fersk i den andre peker på en nøkkel som bare én ende godtok. Den andre kommandoen navngir grensesnittene du kan undersøke videre.
Hva man deler og hva man aldri deler
En offentlig nøkkel er ment å overleveres, selv om den fortsatt identifiserer et enhetsforhold, derfor er det forskjellig å sende den til administratoren som ba om den og å publisere den. En privat nøkkel forlater aldri enheten som genererte den. En eksportert profil eller en QR-kode inneholder hele konfigurasjonen inkludert den private nøkkelen, så ingen av dem er trygge å sende rundt, og å skjule teksten inne i et bilde endrer ingenting. Forhåndsdelt nøkler er valgfrie og like hemmelige, og begge ender må ha samme verdi, ellers stopper håndtrykket på det trinnet.
Nok en forskjell er verdt å si rett ut: et endepunkt er en adresse og en port, aldri en nøkkel. Limer man en offentlig nøkkel inn i endepunktfeltet, eller en adresse i et nøkkelfelt, får man en profil som parses og deretter ikke gjør noe. Verktøyet fanger det ikke, fordi begge feltene bare er strenger. WireGuard-hurtigstarten viser generer-og-utled-kjeden på én linje.
Én enhet, én peer-oppføring
Der tjenesten tillater det, bør hver enhet ha sin egen peer-identitet. Å lime en laptops komplette profil inn på en telefon gjør det uklart hvilken enhet som har den identiteten på serveren og gjør det vanskeligere å tilbakekalle én mistet telefon. Hvis en privat nøkkel lekker, fjern den gamle peer-tillatelsen på serveren og skaff en erstatning. Sletter man den lokale filen, fjernes ikke serverens oppføring, og en ny klientnøkkel hjelper ingen før serveren kjenner dens offentlige halvdel.
Hold koblingen fra enhet til offentlig nøkkel ved siden av adresselisten. Den listen er det som gjør en tilbakekalling til en oppgave på to minutter i stedet for en hel ettermiddag.
Hva som fortsatt feiler etter håndtrykket
Nøkkelpar identifiserer peers; de avgjør ikke nettverksatferd. AllowedIPs knytter adresseområder til en peer, og rutene rundt styres av klienten eller oppsettsverktøyet. Symptomet sier vanligvis hvilket lag som skal åpnes neste gang:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS kan feile etter at begge peers har autentisert seg riktig, og en applikasjon kan feile mens tunnelen selv er sunn, så et fungerende håndtrykk er ikke slutten på diagnosen. Nøkler sier heller ingenting om en operatørs loggføringspraksis eller om et nettsted kjenner igjen kontoen din, og de spørsmålene hører hjemme andre steder. Gå videre til nettverkslagene når de fire kontrollene består, for en manglende nøkkel er ikke et skjult ruteproblem.