Zasebni ključ tukaj, javni ključ tam: ključi WireGuard
Vaš zasebni ključ ostane na vaši napravi; vnos partnerja hrani javni ključ druge strani. Delite le javno polovico in vsaki napravi dajte lastno identiteto.
Večina ročno sestavljenih napak WireGuard se skrči na to, kateri ključ je kam šel. Razdelek vmesnika nosi zasebni ključ naprave, ki jo nastavljate, razdelek partnerja pa javni ključ stroja na drugem koncu. Zamenjava teh polovic ali lepljenje napačne ustvari rokovanje, ki se nikoli ne dokonča, in dnevnik, ki nikoli ne imenuje ključa. Izvedite štiri spodnje preverbe po vrsti, preden se dotaknete AllowedIPs ali DNS.
Dva ključa, dve smeri
Zasebni ključ pripada natanko eni napravi in ostane v razdelku vmesnika te naprave. Njegova javna polovica je tisto, kar vsak drug partner potrebuje za prepoznavo naprave, in orodja jo izpeljejo, namesto da bi si jo izmislila. Na strežniku se javni ključ vaše naprave prikaže kot vnos partnerja; na vaši napravi to vlogo opravlja javni ključ strežnika. Glasno branje konfiguracije v teh izrazih ujame večino zamenjav, preden dosežejo rokovanje.
Ukaz wg izpiše, kaj lokalni vmesnik dejansko uporablja, vključno z obema javnima ključema. Zato je najhitrejši način za ločevanje napake v konfiguraciji od težave s povezljivostjo:
wg show
wg show interfacesPrvi izpis navede vsakega partnerja z njegovim javnim ključem, zadnjo uporabljeno končno točko in starostjo zadnjega rokovanja. Starost rokovanja »nikoli« na eni strani in nedavna na drugi kaže na ključ, ki ga je sprejel le en konec. Drugi ukaz poimenuje vmesnike, ki jih lahko še pregledate.
Kaj deliti in česa nikoli
Javni ključ je namenjen predaji, čeprav še vedno identificira odnos naprav, zato se pošiljanje skrbniku, ki ga je zahteval, razlikuje od objave. Zasebni ključ nikoli ne zapusti naprave, ki ga je ustvarila. Izvoženi profil ali koda QR vsebuje celotno konfiguracijo, vključno s tem zasebnim ključem, zato nobeno od obeh ni varno za posredovanje, in skrivanje besedila v sliki ne spremeni ničesar. Vnaprej deljeni ključi so neobvezni in enako tajni, oba konca pa morata imeti isto vrednost, sicer se rokovanje ustavi na tej stopnji.
Še eno razlikovanje velja povedati naravnost: končna točka je naslov in vrata, nikoli ključ. Lepljenje javnega ključa v polje končne točke ali naslova v polje ključa ustvari profil, ki se razčleni in nato ne naredi ničesar. Orodja tega ne bodo ujela, ker sta obe polji le nizi. Hitri začetek WireGuard prikaže verigo ustvarjanja in izpeljave v eni vrstici.
Ena naprava, en vnos partnerja
Kjer storitev to dovoljuje, naj vsaka naprava nosi svojo identiteto partnerja. Lepljenje celotnega profila prenosnika v telefon zamegli, katera naprava ima to identiteto na strežniku, in oteži preklic enega izgubljenega telefona. Če zasebni ključ uhaja, odstranite staro dovoljenje partnerja na strežniku in poskrbite za zamenjavo. Brisanje lokalne datoteke ne odstrani vnosa na strežniku, in nov odjemalski ključ nikomur ne pomaga, dokler strežnik ne pozna njegove javne polovice.
Ujemanje naprave z javnim ključem hranite ob seznamu naslovov. Ta seznam spremeni preklic v dve minuti dolgo opravilo namesto v celo popoldne.
Kaj še vedno ne uspe po rokovanju
Pari ključev identificirajo partnerje; ne odločajo o obnašanju omrežja. AllowedIPs poveže naslovna območja s partnerjem, poti okoli pa upravlja odjemalec ali orodje za nastavitev. Simptom običajno pove, kateri sklad odpreti naslednji:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS lahko ne uspe, potem ko sta se oba partnerja pravilno overila, in aplikacija lahko ne uspe, medtem ko je sam tunel zdrav, zato uspešno rokovanje ni konec diagnostike. Ključi tudi ne povedo ničesar o praksi beleženja operaterja ali o tem, ali spletno mesto prepozna vaš račun, in ta vprašanja spadajo drugam. Preidite na omrežne sklade, ko štiri preverbe uspejo, ker manjkajoči ključ ni prikrit problem usmerjanja.