Приватни кључ овде, јавни кључ тамо: WireGuard кључеви
Ваш приватни кључ остаје на уређају; запис партнера чува јавни кључ друге стране. Делите само јавну половину и дајте сваком уређају сопствени идентитет.
Већина ручно састављених WireGuard кварова своди се на то који је кључ где завршио. Одељак интерфејса носи приватни кључ уређаја који конфигуришете, а одељак партнера носи јавни кључ машине на другом крају. Замена тих половина или лепљење погрешне даје руковање које се никада не завршава и дневник који никада не именује кључ. Обавите четири провере испод по реду пре него што додирнете AllowedIPs или DNS.
Два кључа, два смера
Приватни кључ припада тачно једном уређају и остаје у одељку интерфејса тог уређаја. Његова јавна половина је оно што је сваком другом партнеру потребно да препозна уређај, а алати је изводе уместо да је измишљају. На серверу се јавни кључ вашег уређаја појављује као запис партнера; на вашем уређају ту улогу има јавни кључ сервера. Читање конфигурације наглас у тим терминима хвата већину забуна пре него што стигну до руковања.
Команда wg исписује шта локални интерфејс заиста користи, укључујући оба јавна кључа. Зато је то најбржи начин да се грешка у конфигурацији одвоји од проблема са повезивањем:
wg show
wg show interfacesПрви излаз наводи сваког партнера са његовим јавним кључем, последњом коришћеном крајњом тачком и старошћу последњег руковања. Старост руковања „никада“ на једној страни и недавна на другој указује на кључ који је прихватио само један крај. Друга команда именује интерфејсе које можете даље испитати.
Шта делити и шта никада
Јавни кључ је намењен предаји, иако још увек идентификује однос уређаја, зато се његово слање администратору који га је тражио разликује од његовог објављивања. Приватни кључ никада не напушта уређај који га је створио. Извезени профил или QR код садржи целу конфигурацију укључујући тај приватни кључ, па ниједно од два није безбедно за предају, а сакривање текста у слици не мења ништа. Унапред дељени кључеви су опциони и једнако тајни, и оба краја морају да имају исту вредност, иначе се руковање зауставља у тој фази.
Још једну разлику ваља рећи отворено: крајња тачка је адреса и порт, никада кључ. Убацивање јавног кључа у поље крајње тачке, или адресе у поље кључа, ствара профил који се парсира и затим ништа не ради. Алати то неће ухватити, јер су оба поља само низови. Брзи почетак WireGuard-а приказује ланац стварања и извођења у једном реду.
Један уређај, један запис партнера
Где услуга то дозвољава, сваки уређај треба да носи сопствени идентитет партнера. Убацивање целог профила преносног рачунара у телефон замагљује који уређај држи тај идентитет на серверу и отежава опозив једног изгубљеног телефона. Ако приватни кључ процури, уклоните стару дозволу партнера на серверу и обезбедите замену. Брисање локалне датотеке не уклања запис на серверу, а нови кључ клијента никоме не помаже док сервер не зна његову јавну половину.
Држите повезивање уређаја са јавним кључем поред списка адреса. Тај списак претвара опозив у задатак од два минута уместо целог поподнева.
Шта и даље не успева после руковања
Парови кључева идентификују партнере; они не одлучују о понашању мреже. AllowedIPs повезује опсеге адреса са партнером, а рутама око тога управља клијент или алат за подешавање. Симптом обично каже који слој следећи отворити:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS може да не успе после тога што су се оба партнера исправно аутентификовала, а апликација може да не успе док је сам тунел здрав, па радно руковање није крај дијагнозе. Кључеви такође не говоре ништа о пракси евидентирања оператера или о томе да ли нека страница препознаје ваш налог, и та питања припадају другде. Пређите на мрежне слојеве када четири провере прођу, јер кључ који недостаје није маскиран проблем рутирања.