Генерирайте двойка ключове WireGuard локално: команди и внимание

Две команди генерират двойка ключове WireGuard и двете идват със стандартните инструменти, така че тази задача не се нуждае от сайт, който да ви предложи да създаде ключ вместо вас. Проблемът никога не е в аритметиката на кривата; той е в битовете за права, в мястото, където каца файлът, и в това какво се изпраща след това към отсрещната страна. Последователността по-долу започва в празна директория и завършва при партньор, който носи трафик. Прочетете я веднъж, преди да я изпълните, защото първият ред има значение само ако следващият се изпълни в същия shell.

Генериране на двойката в един shell

Документираният работен процес ограничава създаването на файлове, преди частната стойност да съществува, и след това извежда публичната стойност от нея. И трите реда принадлежат заедно в една сесия на shell:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey записва 32-байтов частен ключ Curve25519 в base64; wg pubkey го чете и извежда съответния публичен ключ, а tee запазва частната стойност, докато я предава по тръбата. Този ред е причината редът за права да е първи и причината поставянето на тръбопровода във втори терминал тихо да го губи. Имената на файловете са илюстративни и важното е, че и двата файла кацат някъде, което устройството собственик контролира. Ако частен файл вече съществува с права по подразбиране, chmod 600 privatekey поправя текущия файл и не прави нищо за копия, направени по-рано.

Запазете частната половина на едно устройство

Частната стойност принадлежи на машината, която ще притежава самоличността, в директория, която тази машина защитава и която резервните ѝ копия третират като идентификационни данни. Тя не принадлежи в споделена папка, в съобщение до себе си или в откъс, прикачен към заявка за поддръжка, а вградено копие прави конфигурационния файл точно толкова чувствителен, колкото ключа. Ключ, живял на три места, не може да бъде обмислен по-късно и това е практическата причина да го държите на едно.

Умишленото унищожаване на излязъл от употреба файл е част от същия навик. Оставянето му в папка за изтегляния, докато някой забележи, не е.

Какво операторът на партньора иска от вас

Другата страна се нуждае от публичната стойност и подредбата на адресите, която нейният оператор е избрал, и от нищо друго. Изпратете този публичен низ по канала, който операторът очаква, след което потвърдете към кой запис за партньор е прикачен, преди някой да го тества, защото правилен ключ в грешен раздел се проваля по начин, който изглежда като проблем с ключа. Изпратете го като един неразделен ред, защото ключ, разделен на два реда, се поставя обратно в конфигурационен файл без оплакване и след това никога не съвпада.

Генерирането на ключ не оторизира нищо само по себе си. Партньорът трябва да бъде конфигуриран да го приеме и стъпката по конфигуриране принадлежи на този, който управлява тази страна.

Тествайте двойката с реален обмен

Двойката ключове идентифицира единия край на тунел; тя не създава маршрут, запис в резолвера, правило за препращане и разрешение във файлуола. След като партньорът е осигурен, тествайте обмена, а не файла: ръкостискане, което се появява в wg show, адрес, който отговаря вътре в тунела, и една заявка на приложение, която зависи от маршрута. Тази тройка отделя грешен ключ от правилен ключ и липсващ път.

Пазете една самоличност на устройство, когато разгръщането позволява, за да може изгубена единица да бъде отменена сама, вместо да принуждава всички да сменят ключовете. Това решение също прави процедурата по замяна по-долу безопасна за изпълнение.

Замяна на ключ без пропуск

Генерирайте замяната на устройството, добавете новия публичен ключ като допълнителен партньор, потвърдете, че носи трафик, и едва тогава премахнете стария. Правенето в този ред означава, че тунелът никога няма момент без валидна самоличност, а връщането назад е просто изтриване на записа, който току-що добавихте.

Пазете заменения частен файл, докато новият партньор бъде потвърден, след което го унищожете умишлено. Бързият старт на WireGuard е справката за самите команди и е достатъчно кратък, за да го прочетете изцяло, преди да започнете.