Pribadong susi rito, pampublikong susi doon: mga susi ng WireGuard
Nananatili ang iyong pribadong susi sa iyong aparato; ang talaan ng kapares ay may pampublikong susi ng kabilang panig. Ibahagi lamang ang pampublikong kalahati, at bigyan ang bawat aparato ng sarili nitong pagkakakilanlan.
Karamihan ng kamaliang WireGuard na ginawa sa kamay ay nauuwi sa kung aling susi ang napunta saan. Ang seksyon ng interface ay may dalang pribadong susi ng aparatong kinokonpigura mo, habang ang seksyon ng kapares ay may dalang pampublikong susi ng makina sa kabilang dulo. Ang pagpapalit ng mga kalahating iyon, o pagdikit ng mali, ay gumagawa ng handshake na hindi natatapos at log na hindi kailanman nagpangalan ng susi. Gawin ang apat na pagsusuri sa ibaba nang sunod-sunod bago hawakan ang AllowedIPs o DNS.
Dalawang susi, dalawang direksyon
Ang pribadong susi ay pag-aari ng eksaktong isang aparato at nananatili sa seksyon ng interface ng aparatong iyon. Ang pampublikong kalahati nito ang kailangan ng bawat ibang kapares upang makilala ang aparato, at hinango ito ng mga tool sa halip na imbentuhin. Sa server, lumilitaw ang pampublikong susi ng iyong aparato bilang talaan ng kapares; sa iyong aparato, ang pampublikong susi ng server ang may ganoong papel. Ang pagbasa nang malakas ng konpigurasyon sa mga terminong ito ay nahuhuli ang karamihan ng kalituhan bago pa makarating sa handshake.
Ang utos na wg ay nagpi-print kung ano ang talagang ginagamit ng lokal na interface, kasama ang dalawang pampublikong susi. Kaya ito ang pinakamabilis na paraan upang ihiwalay ang pagkakamali sa konpigurasyon mula sa problema sa koneksyon:
wg show
wg show interfacesAng unang output ay naglilista ng bawat kapares kasama ang pampublikong susi nito, ang endpoint na huling ginamit at ang edad ng huling handshake. Ang edad ng handshake na «kailanman» sa isang banda at kamakailan sa kabila ay tumutukoy sa susing tinanggap lamang ng isang dulo. Ang ikalawang utos ay nagpangalan ng mga interface na maaari mong siyasatin pa.
Ano ang ibabahagi at ano ang hindi kailanman
Ang pampublikong susi ay inilaan upang ibigay, kahit na kinikilala pa rin nito ang relasyon ng mga aparato, kaya iba ang pagpapadala nito sa administrador na humiling kaysa sa paglalathala nito. Ang pribadong susi ay hindi kailanman lumalabas sa aparatong gumawa nito. Ang na-export na profile o QR code ay naglalaman ng buong konpigurasyon kasama ang pribadong susing iyon, kaya wala sa dalawa ang ligtas na ipasa-pasa, at ang pagtatago ng teksto sa loob ng larawan ay walang binabago. Ang mga susing paunang ibinahagi ay opsyonal at kasing-lihim, at dapat pareho ang halaga sa dalawang dulo, kung hindi ay hihinto ang handshake sa yugtong iyon.
Isa pang pagkakaiba ang dapat sabihin nang tuwiran: ang endpoint ay isang address at isang port, hindi kailanman susi. Ang pagdikit ng pampublikong susi sa field ng endpoint, o ng address sa field ng susi, ay gumagawa ng profile na napoproseso at pagkatapos ay walang ginagawa. Hindi ito mahuhuli ng mga tool, dahil parehong string lamang ang dalawang field. Ang mabilisang simula ng WireGuard ay nagpapakita ng linya ng paggawa at paghango sa isang linya.
Isang aparato, isang talaan ng kapares
Kung saan pinapayagan ng serbisyo, dapat may sariling pagkakakilanlang kapares ang bawat aparato. Ang pagdikit ng buong profile ng laptop sa telepono ay nagpapalabo kung aling aparato ang may ganoong pagkakakilanlan sa server at ginagawang mas mahirap ang pagbawi ng isang nawawalang telepono. Kung tumagas ang pribadong susi, alisin ang lumang pahintulot ng kapares sa server at maghanda ng kapalit. Ang pagbura ng lokal na file ay hindi nag-aalis ng talaan sa server, at walang natutulungan ang bagong susi ng kliyente hanggang malaman ng server ang pampublikong kalahati nito.
Itago ang pagtutugma ng aparato sa pampublikong susi sa tabi ng listahan ng address. Ang listahang iyon ang gumagawa ng pagbawi na gawain ng dalawang minuto sa halip na isang buong hapon.
Ano ang nabibigo pa pagkatapos ng handshake
Kinikilala ng mga pares ng susi ang mga kapares; hindi nila pinagpapasyahan ang pag-uugali ng network. Iniuugnay ng AllowedIPs ang mga saklaw ng address sa isang kapares, at ang mga ruta sa paligid ay pinamamahalaan ng kliyente o ng tool sa pag-setup. Karaniwang sinasabi ng sintomas kung aling layer ang bubuksan sunod:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
Maaaring mabigo ang DNS pagkatapos ma-authenticate nang tama ang dalawang kapares, at maaaring mabigo ang isang aplikasyon habang malusog ang tunnel mismo, kaya ang gumaganang handshake ay hindi katapusan ng diagnosis. Wala ring sinasabi ang mga susi tungkol sa gawi sa pag-log ng operator o kung kinikilala ng isang website ang iyong account, at ang mga tanong na iyon ay nabibilang sa ibang lugar. Lumipat sa mga layer ng network kapag pumasa ang apat na pagsusuri, dahil ang nawawalang susi ay hindi isang nakatagong problema sa routing.