Özel anahtar burada, genel anahtar orada: WireGuard anahtarları
Özel anahtarınız cihazınızda kalır; eş girdisi karşı tarafın genel anahtarını tutar. Yalnızca genel yarıyı paylaşın ve her cihaza kendi kimliğini verin.
Elle kurulan WireGuard arızalarının çoğu hangi anahtarın nereye gittiğine indirgenir. Arayüz bölümü yapılandırdığınız cihazın özel anahtarını taşır, eş bölümü ise diğer uçtaki makinenin genel anahtarını taşır. Bu yarıları değiştirmek veya yanlış olanı yapıştırmak, hiç tamamlanmayan bir el sıkışma ve hiçbir zaman bir anahtar adlandırmayan bir günlük üretir. AllowedIPs veya DNS’e dokunmadan önce aşağıdaki dört kontrolü sırayla yapın.
İki anahtar, iki yön
Özel anahtar tam olarak tek bir cihaza aittir ve o cihazın arayüz bölümünde kalır. Genel yarısı, her diğer eşin cihazı tanıması için gereken şeydir ve araçlar onu uydurmak yerine türetir. Sunucuda cihazınızın genel anahtarı eş girdisi olarak görünür; cihazınızda bu rolü sunucunun genel anahtarı üstlenir. Yapılandırmayı bu terimlerle yüksek sesle okumak, karışıklıkların çoğunu el sıkışmaya ulaşmadan yakalar.
wg komutu yerel arayüzün gerçekte ne kullandığını, iki genel anahtar dahil yazdırır. Bu yüzden yapılandırma hatasını bağlantı sorunundan ayırmanın en hızlı yolu odur:
wg show
wg show interfacesİlk çıktı her eşi genel anahtarı, en son kullandığı uç nokta ve son el sıkışmasının yaşıyla listeler. Bir uçta «asla» olan el sıkışma yaşı, diğer uçta yeniyse yalnızca bir ucun kabul ettiği bir anahtara işaret eder. İkinci komut daha fazla inceleyebileceğiniz arayüzleri adlandırır.
Neyi paylaşmalı, neyi asla paylaşmamalı
Genel anahtar devredilmek içindir, yine de bir cihaz ilişkisini tanımlar, bu yüzden onu isteyen yöneticiye göndermek yayımlamaktan farklıdır. Özel anahtar onu üreten cihazdan asla ayrılmaz. Dışa aktarılmış bir profil veya QR kodu, o özel anahtar dahil tüm yapılandırmayı taşır, bu yüzden ikisi de elden ele geçirmek için güvenli değildir ve metni bir görselin içine saklamak hiçbir şeyi değiştirmez. Önceden paylaşılan anahtarlar isteğe bağlıdır ve aynı ölçüde gizlidir, iki uç da aynı değeri taşımalıdır, yoksa el sıkışma o aşamada durur.
Bir ayrımı da açıkça söylemek gerekir: uç nokta bir adres ve bir bağlantı noktasıdır, asla anahtar değildir. Uç nokta alanına genel anahtar veya anahtar alanına adres yapıştırmak, ayrıştırılan ve sonra hiçbir şey yapmayan bir profil üretir. Araçlar bunu yakalamaz, çünkü iki alan da yalnızca dizedir. WireGuard hızlı başlangıcı oluşturma ve türetme zincirini tek satırda gösterir.
Bir cihaz, bir eş girdisi
Hizmet izin verdiğinde her cihaz kendi eş kimliğini taşımalıdır. Bir dizüstü bilgisayarın tam profilini telefona yapıştırmak, sunucuda hangi cihazın o kimliği tuttuğunu bulanıklaştırır ve kaybolan tek bir telefonu iptal etmeyi zorlaştırır. Özel anahtar sızarsa sunucudaki eski eş yetkisini kaldırın ve yerine yenisini hazırlayın. Yerel dosyayı silmek sunucudaki girdiyi kaldırmaz ve yeni bir istemci anahtarı, sunucu onun genel yarısını bilene kadar kimseye yardımcı olmaz.
Cihazdan genel anahtara eşlemeyi adres listesinin yanında tutun. İptali yarım gün yerine iki dakikalık bir işe çeviren şey o listedir.
El sıkışmadan sonra hâlâ ne bozulur
Anahtar çiftleri eşleri tanımlar; ağ davranışına karar vermezler. AllowedIPs adres aralıklarını bir eşle ilişkilendirir, çevresindeki yolları istemci veya kurulum aracı yönetir. Belirti genellikle sıradaki hangi katmanın açılacağını söyler:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
Her iki eş de doğru şekilde kimlik doğruladıktan sonra DNS başarısız olabilir ve tünelin kendisi sağlıklıyken uygulama başarısız olabilir, bu yüzden çalışan bir el sıkışma tanının sonu değildir. Anahtarlar bir operatörün günlükleme uygulaması veya bir sitenin hesabınızı tanıyıp tanımadığı hakkında da hiçbir şey söylemez ve bu sorular başka bir yere aittir. Dört kontrol geçince ağ katmanlarına geçin, çünkü eksik bir anahtar kılık değiştirmiş bir yönlendirme sorunu değildir.