Khóa riêng ở đây, khóa công khai ở kia: các khóa WireGuard
Khóa riêng của bạn ở lại trên thiết bị; mục ngang hàng giữ khóa công khai của phía bên kia. Chỉ chia sẻ nửa công khai, và cấp cho mỗi thiết bị danh tính riêng.
Phần lớn lỗi WireGuard dựng thủ công quy về việc khóa nào đã đi đâu. Phần giao diện chứa khóa riêng của thiết bị bạn đang cấu hình, còn phần ngang hàng chứa khóa công khai của máy ở đầu bên kia. Đổi hai nửa đó, hoặc dán nhầm cái không đúng, tạo ra một bắt tay không bao giờ hoàn tất và một nhật ký không bao giờ nêu tên khóa. Hãy làm bốn bước kiểm tra dưới đây theo thứ tự trước khi chạm vào AllowedIPs hoặc DNS.
Hai khóa, hai hướng
Một khóa riêng thuộc về đúng một thiết bị và nằm trong phần giao diện của thiết bị đó. Nửa công khai của nó là thứ mọi ngang hàng khác cần để nhận ra thiết bị, và công cụ suy ra nó chứ không tự nghĩ ra. Trên máy chủ, khóa công khai của thiết bị bạn xuất hiện dưới dạng mục ngang hàng; trên thiết bị của bạn, khóa công khai của máy chủ giữ vai trò đó. Đọc to cấu hình bằng những thuật ngữ này bắt được phần lớn nhầm lẫn trước khi chúng tới một bắt tay.
Lệnh wg in ra những gì giao diện cục bộ thực sự dùng, gồm cả hai khóa công khai. Nhờ vậy nó là cách nhanh nhất để tách lỗi cấu hình khỏi sự cố kết nối:
wg show
wg show interfacesKết quả đầu tiên liệt kê từng ngang hàng cùng khóa công khai, điểm cuối dùng lần gần nhất và tuổi của lần bắt tay cuối. Tuổi bắt tay «chưa bao giờ» ở một bên và mới đây ở bên kia cho thấy một khóa chỉ được một đầu chấp nhận. Lệnh thứ hai nêu tên các giao diện bạn có thể xem tiếp.
Chia sẻ gì và không bao giờ chia sẻ gì
Khóa công khai là để trao tay, dù nó vẫn nhận diện một quan hệ thiết bị, vì thế gửi nó cho quản trị viên đã yêu cầu khác với công bố nó. Khóa riêng không bao giờ rời khỏi thiết bị đã tạo ra nó. Hồ sơ xuất ra hoặc mã QR chứa toàn bộ cấu hình gồm cả khóa riêng đó, nên cả hai đều không an toàn để chuyền tay, và giấu văn bản trong một hình ảnh không thay đổi gì. Khóa chia sẻ trước là tùy chọn và cũng bí mật như vậy, và hai đầu phải mang cùng giá trị, nếu không bắt tay dừng ở bước đó.
Một phân biệt nữa nên nói thẳng: điểm cuối là một địa chỉ và một cổng, không bao giờ là khóa. Dán khóa công khai vào trường điểm cuối, hoặc địa chỉ vào trường khóa, tạo ra hồ sơ phân tích được rồi sau đó không làm gì. Công cụ sẽ không bắt được điều đó, vì cả hai trường chỉ là chuỗi. Bản hướng dẫn nhanh của WireGuard cho thấy chuỗi tạo và suy ra trên một dòng.
Một thiết bị, một mục ngang hàng
Ở nơi dịch vụ cho phép, mỗi thiết bị nên mang danh tính ngang hàng của riêng nó. Dán toàn bộ hồ sơ của máy tính xách tay sang điện thoại làm mờ việc thiết bị nào giữ danh tính đó trên máy chủ và khiến việc thu hồi một chiếc điện thoại bị mất khó hơn. Nếu khóa riêng rò rỉ, hãy gỡ uỷ quyền ngang hàng cũ trên máy chủ và chuẩn bị bản thay thế. Xóa tệp cục bộ không gỡ mục trên máy chủ, và khóa ứng dụng mới không giúp được ai cho tới khi máy chủ biết nửa công khai của nó.
Giữ bảng ánh xạ thiết bị sang khóa công khai bên cạnh danh sách địa chỉ. Chính danh sách đó biến việc thu hồi thành công việc hai phút thay vì cả buổi chiều.
Điều gì vẫn hỏng sau khi bắt tay
Cặp khóa nhận diện các ngang hàng; chúng không quyết định hành vi mạng. AllowedIPs gắn các dải địa chỉ với một ngang hàng, và các tuyến xung quanh do ứng dụng khách hoặc công cụ thiết lập quản lý. Triệu chứng thường cho biết nên mở lớp nào tiếp theo:
| What you see | Which key problem it usually means | Where to look first |
|---|---|---|
| Handshake age stays at never on both ends | Peer public key missing, or an endpoint pointing at nothing | wg show, then the endpoint value |
| Handshake completes on one side only | The two ends hold different public keys for each other | wg show on both hosts |
| Handshake works, then no traffic | AllowedIPs or routes rather than keys | wg show and the route table |
| Worked until a key was regenerated | The peer entry still holds the old public key | Compare both public keys, then update the peer |
DNS có thể hỏng sau khi cả hai ngang hàng xác thực đúng, và một ứng dụng có thể hỏng trong khi đường hầm vẫn khỏe, nên một bắt tay chạy được không phải là điểm kết của chẩn đoán. Khóa cũng không nói gì về cách nhà vận hành ghi nhật ký hay về việc một trang web có nhận ra tài khoản của bạn hay không, và những câu hỏi đó thuộc nơi khác. Hãy chuyển sang các lớp mạng khi bốn bước kiểm tra đã qua, vì một khóa thiếu không phải là sự cố định tuyến cải trang.