Súkromný kľúč tu, verejný kľúč tam: kľúče WireGuardu
Váš súkromný kľúč zostáva na vašom zariadení; položka partnera obsahuje verejný kľúč druhej strany. Zdieľajte iba verejnú polovicu a každému zariadeniu dajte vlastnú identitu.
Väčšina ručne zostavených zlyhaní WireGuardu sa zvádza na to, ktorý kľúč kam patrí. Sekcia rozhrania nesie súkromný kľúč zariadenia, ktoré konfigurujete, zatiaľ čo sekcia partnera nesie verejný kľúč stroja na druhom konci. Zámena týchto polovíc alebo vloženie nesprávnej vytvorí handshake, ktorý sa nikdy nedokončí, a log, ktorý nikdy nepomenuje kľúč. Prejdite štyri kontroly nižšie v poradí, kým sa dotknete AllowedIPs alebo DNS.
Dva kľúče, dva smery
Súkromný kľúč patrí presne jednému zariadeniu a zostáva v sekcii rozhrania tohto zariadenia. Jeho verejná polovica je to, čo každý ďalší partner potrebuje na rozpoznanie zariadenia, a nástroje ju odvodzujú, namiesto aby si ju vymýšľali. Na serveri sa verejný kľúč vášho zariadenia zobrazuje ako položka partnera; na vašom zariadení túto úlohu drží verejný kľúč servera. Čítanie konfigurácie nahlas v týchto pojmoch zachytí väčšinu zámen skôr, než sa dostanú k handshake.
Príkaz wg vypíše, čo miestne rozhranie skutočne používa, vrátane oboch verejných kľúčov. Preto je najrýchlejším spôsobom, ako oddeliť chybu konfigurácie od problému s pripojením:
wg show
wg show interfacesPrvý výstup vypisuje každého partnera s jeho verejným kľúčom, koncovým bodom, ktorý naposledy použil, a vekom jeho posledného handshake. Vek handshake „nikdy“ na jednej strane a nedávny na druhej ukazuje na kľúč, ktorý prijal iba jeden koniec. Druhý príkaz pomenúva rozhrania, ktoré môžete ďalej preskúmať.
Čo zdieľať a čo nikdy
Verejný kľúč je určený na odovzdanie, hoci stále identifikuje vzťah zariadení, preto sa jeho odoslanie administrátorovi, ktorý oň požiadal, líši od jeho zverejnenia. Súkromný kľúč nikdy neopustí zariadenie, ktoré ho vytvorilo. Exportovaný profil alebo QR kód obsahuje celú konfiguráciu vrátane tohto súkromného kľúča, takže ani jedno nie je bezpečné na ďalšie odovzdávanie, a skrytie textu do obrázka nič nemení. Vopred zdieľané kľúče sú voliteľné a rovnako tajné a oba konce musia mať rovnakú hodnotu, inak sa handshake v tom kroku zastaví.
Ešte jeden rozdiel stojí za to povedať priamo: koncový bod je adresa a port, nikdy kľúč. Vloženie verejného kľúča do poľa koncového bodu alebo adresy do poľa kľúča vytvorí profil, ktorý sa naparsuje a potom nič nerobí. Nástroje to nezachytia, pretože obe polia sú len reťazce. Rýchly štart WireGuardu ukazuje linku generovania a odvodzovania na jednom riadku.
Jedno zariadenie, jedna položka partnera
Kde to služba dovolí, každé zariadenie má niesť vlastnú identitu partnera. Vloženie kompletného profilu notebooku do telefónu rozmaže, ktoré zariadenie túto identitu na serveri drží, a sťaží odvolanie jedného strateného telefónu. Ak súkromný kľúč unikne, odstráňte na serveri staré oprávnenie partnera a zaistite náhradu. Zmazanie miestneho súboru položku servera neodstráni a nový klientsky kľúč nikomu nepomôže, kým server nepozná jeho verejnú polovicu.
Držte mapovanie zariadenia na verejný kľúč vedľa zoznamu adries. Práve tento zoznam robí z odvolania dvojminútovú úlohu namiesto celého popoludnia.
Čo stále zlyháva po handshake
Páry kľúčov identifikujú partnerov; nerozhodujú o správaní siete. AllowedIPs priraďuje rozsahy adries partnerovi, a trasy okolo toho spravuje klient alebo nástroj na nastavenie. Príznak zvyčajne povie, ktorú vrstvu otvoriť ďalej:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS môže zlyhať po tom, čo sa obaja partneri správne autentifikovali, a aplikácia môže zlyhať, kým samotný tunel je zdravý, takže fungujúci handshake nie je koniec diagnostiky. Kľúče tiež nič nehovoria o tom, ako operátor loguje, ani o tom, či vás nejaký web rozpozná podľa účtu, a tieto otázky patria inam. Prejdite na sieťové vrstvy, keď štyri kontroly prejdú, pretože chýbajúci kľúč nie je maskovaný problém smerovania.