Çelës privat këtu, çelës publik atje: çelësat e WireGuard
Çelësi juaj privat qëndron në pajisjen tuaj; hyrja e partnerit mban çelësin publik të anës tjetër. Ndani vetëm gjysmën publike dhe jepini çdo pajisjeje identitetin e vet.
Shumica e dështimeve të WireGuard-it të ndërtuar me dorë zbresin në atë se cili çelës shkoi ku. Seksioni i ndërfaqes mban çelësin privat të pajisjes që po konfiguroni, ndërsa një seksion partneri mban çelësin publik të makinës në skajin tjetër. Zëvendësimi i këtyre gjysmave, ose ngjitja e asaj të gabuarës, prodhon një shtrëngim duarsh që nuk përfundon kurrë dhe një regjistër që nuk emërton kurrë një çelës. Kryeni katër kontrollet më poshtë me radhë përpara se të prekni AllowedIPs ose DNS.
Dy çelësa, dy drejtime
Një çelës privat i përket saktësisht një pajisjeje dhe qëndron në seksionin e ndërfaqes të asaj pajisjeje. Gjysma e tij publike është ajo që i duhet çdo partneri tjetër për të njohur pajisjen, dhe mjetet e nxjerrin atë në vend që ta shpikin. Në server, çelësi publik i pajisjes tuaj shfaqet si hyrje partneri; në pajisjen tuaj, atë rol e luan çelësi publik i serverit. Leximi me zë i një konfigurimi në këto terma kap shumicën e ngatërresave përpara se ato të arrijnë në një shtrëngim duarsh.
Komanda wg printon çfarë po përdor në të vërtetë ndërfaqja lokale, duke përfshirë të dy çelësat publikë. Kjo e bën atë mënyrën më të shpejtë për të ndarë një gabim konfigurimi nga një problem lidhjeje:
wg show
wg show interfacesDalja e parë rendit çdo partner me çelësin e tij publik, pikën fundore që përdori për herë të fundit dhe moshën e shtrëngimit të tij të fundit të duarve. Një moshë shtrëngimi «kurrë» në njërën anë dhe një e freskët në anën tjetër tregon një çelës që vetëm një skaj e pranoi. Komanda e dytë emërton ndërfaqet që mund të shqyrtoni më tej.
Çfarë të ndani dhe çfarë të mos ndani kurrë
Një çelës publik është menduar të dorëzohet, edhe pse ende identifikon një marrëdhënie pajisjesh, prandaj dërgimi i tij administratorit që e kërkoi ndryshon nga botimi i tij. Një çelës privat nuk largohet kurrë nga pajisja që e gjeneroi. Një profil i eksportuar ose një kod QR mban të gjithë konfigurimin duke përfshirë atë çelës privat, kështu që asnjëri nuk është i sigurt për t’u kaluar dorë më dorë, dhe fshehja e tekstit brenda një imazhi nuk ndryshon asgjë. Çelësat e para-ndarë janë opsionalë dhe po aq të fshehtë, dhe të dy skajet duhet të mbajnë të njëjtën vlerë, përndryshe shtrëngimi i duarve ndalon në atë fazë.
Një dallim tjetër ia vlen të thuhet troç: pika fundore është një adresë dhe një portë, kurrë një çelës. Ngjitja e një çelësi publik në fushën e pikës fundore, ose e një adrese në një fushë çelësi, prodhon një profil që analizohet dhe pastaj nuk bën asgjë. Mjetet nuk do ta kapin këtë, sepse të dyja fushat janë thjesht vargje. Nisja e shpejtë e WireGuard tregon zinxhirin e gjenerimit dhe nxjerrjes në një rresht.
Një pajisje, një hyrje partneri
Atje ku shërbimi e lejon, çdo pajisje duhet të mbajë identitetin e vet të partnerit. Ngjitja e profilit të plotë të një laptopi në një telefon turbullon se cila pajisje e mban atë identitet në server dhe e bën më të vështirë anulimin e një telefoni të humbur. Nëse një çelës privat rrjedh, hiqni autorizimin e vjetër të partnerit në server dhe siguroni një zëvendësues. Fshirja e skedarit lokal nuk heq hyrjen e serverit, dhe një çelës i ri klienti nuk ndihmon askënd derisa serveri të njohë gjysmën e tij publike.
Mbani korrespondencën pajisje-çelës publik pranë listës së adresave. Është pikërisht ajo listë që e kthen një anulim në një detyrë dy minutash në vend të një pasditeje të tërë.
Çfarë ende dështon pas shtrëngimit të duarve
Çiftet e çelësave identifikojnë partnerët; ato nuk vendosin sjelljen e rrjetit. AllowedIPs lidh intervalet e adresave me një partner, dhe rrugët përreth i menaxhon klienti ose mjeti i konfigurimit. Simptoma zakonisht thotë cilën shtresë të hapni më pas:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS mund të dështojë pasi të dy partnerët autentikohen saktë, dhe një aplikacion mund të dështojë ndërsa tuneli vetë është i shëndetshëm, prandaj një shtrëngim duarsh që funksionon nuk është fundi i diagnozës. Çelësat gjithashtu nuk thonë asgjë për praktikën e regjistrimit të një operatori ose për atë nëse një faqe e njeh llogarinë tuaj, dhe ato pyetje i përkasin diku tjetër. Kaloni te shtresat e rrjetit kur katër kontrollet kalojnë, sepse një çelës që mungon nuk është një problem rrugëtimi i maskuar.