Privat nøkkel her, offentleg nøkkel der: WireGuard-nøklar
Din private nøkkel blir på eininga di; peer-oppføringa held den andre sida sin offentlege nøkkel. Del berre den offentlege halvdelen, og gje kvar eining sin eigen identitet.
Dei fleste handbygde WireGuard-feila kokar ned til kva nøkkel som hamna kvar. Grensesnittsdelen inneheld den private nøkkelen til eininga du konfigurerer, medan ein peer-del inneheld den offentlege nøkkelen til maskinen i den andre enden. Byter ein desse halvdelane, eller limer inn feil, får ein eit handtrykk som aldri blir fullført og ei logg som aldri namngir ein nøkkel. Gå gjennom dei fire kontrollane nedanfor i rekkjefølgje før du rører AllowedIPs eller DNS.
To nøklar, to retningar
Ein privat nøkkel høyrer til nøyaktig éi eining og blir i grensesnittsdelen til den eininga. Den offentlege halvdelen er det kvar annan peer treng for å kjenne att eininga, og verktøyet leier han ut i staden for å finne han opp. På tenaren blir den offentlege nøkkelen til eininga di vist som ei peer-oppføring; på eininga di har den offentlege nøkkelen til tenaren den rolla. Les ein ein konfigurasjon høgt i desse omgrepa, blir dei fleste forvekslingane fanga før dei når eit handtrykk.
Kommandoen wg skriv ut kva det lokale grensesnittet faktisk brukar, inkludert begge dei offentlege nøklane. Difor er han den snøggaste måten å skilje ein konfigurasjonsfeil frå eit tilkoplingsproblem:
wg show
wg show interfacesDen første utskrifta listar kvar peer med sin offentlege nøkkel, endepunktet han brukte sist og alderen på det siste handtrykket sitt. Ein handtrykksalder på aldri i den eine enden og ein fersk i den andre peikar på ein nøkkel som berre éin ende godtok. Den andre kommandoen namngir grensesnitta du kan granske vidare.
Kva ein deler og kva ein aldri deler
Ein offentleg nøkkel er meint å bli overlevert, jamvel om han framleis identifiserer eit einingstilhøve, difor er det annleis å sende han til administratoren som bad om han enn å publisere han. Ein privat nøkkel forlét aldri eininga som genererte han. Ein eksportert profil eller ein QR-kode inneheld heile konfigurasjonen inkludert den private nøkkelen, så ingen av dei er trygge å sende rundt, og å gøyme teksten inne i eit bilete endrar ingenting. Førehandsdelt nøklar er valfrie og like hemmelege, og begge endane må bere same verdien, elles stoggar handtrykket på det trinnet.
Endå ein skilnad er verdt å seie rett ut: eit endepunkt er ei adresse og ein port, aldri ein nøkkel. Limer ein ein offentleg nøkkel inn i endepunktfeltet, eller ei adresse i eit nøkkelfelt, får ein ein profil som blir parsa og deretter ikkje gjer noko. Verktøyet fangar det ikkje, fordi begge felta berre er strengar. WireGuard-hurtigstarten viser generer-og-lei-ut-kjeda på éi linje.
Éi eining, éi peer-oppføring
Der tenesta tillèt det, bør kvar eining ha sin eigen peer-identitet. Å lime ein komplett laptop-profil inn på ein telefon gjer det uklårt kva eining som har den identiteten på tenaren og gjer det vanskelegare å kalle attende éin tapt telefon. Om ein privat nøkkel lek ut, fjern den gamle peer-løyve på tenaren og skaff ei erstatning. Slettar ein den lokale fila, blir ikkje oppføringa på tenaren fjerna, og ein ny klientnøkkel hjelper ingen før tenaren kjenner den offentlege halvdelen hans.
Hald koplinga frå eining til offentleg nøkkel ved sida av adresselista. Den lista er det som gjer ein attkalling til ei oppgåve på to minutt i staden for ein heil ettermiddag.
Kva som framleis feilar etter handtrykket
Nøkkelpar identifiserer peerar; dei avgjer ikkje åtferda til nettet. AllowedIPs knyter adresseområde til ein peer, og rutene rundt blir styrte av klienten eller oppsettverktøyet. Symptomet seier oftast kva lag som skal opnast neste gong:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS kan feile etter at begge peerane har autentisert seg rett, og eit program kan feile medan tunnelen sjølv er sunn, så eit fungerande handtrykk er ikkje slutten på diagnosen. Nøklar seier heller ingenting om loggføringspraksisen til ein operatør eller om ein nettstad kjenner att kontoen din, og dei spørsmåla høyrer heime andre stader. Gå vidare til nettverkslaga når dei fire kontrollane er greidde, for ein manglande nøkkel er ikkje eit skjult ruteproblem.