Generirajte WireGuard par ključeva lokalno: komande i pažnja

Dvije komande generiraju WireGuard par ključeva i obje dolaze sa standardnim alatima, pa ovom zadatku nije potrebna web stranica koja nudi da vam napravi ključ. Ono što pođe po zlu nikada nije aritmetika krive; to su bitovi dozvola, mjesto na koje datoteka sleti i ono što se poslije pošalje drugoj strani. Slijed ispod počinje u praznom direktoriju, a završava kod partnera koji nosi saobraćaj. Pročitajte ga jednom prije izvršavanja, jer prvi red ima smisla samo ako se sljedeći izvrši u istoj ljusci.

Generisanje para u jednoj ljusci

Dokumentirani tok rada ograničava stvaranje datoteka prije nego što privatna vrijednost postoji, a zatim iz nje izvodi javnu vrijednost. Sva tri reda pripadaju zajedno u jednu sesiju ljuske:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey upisuje 32-bajtni privatni ključ Curve25519 u base64; wg pubkey ga čita i izvodi odgovarajući javni ključ, a tee čuva privatnu vrijednost dok je prosljeđuje kroz cijev. Taj redoslijed je razlog zašto red o dozvolama dolazi prvi i zašto lijepljenje cjevovoda u drugi terminal tiho gubi. Nazivi datoteka su ilustrativni, a važno je da obje datoteke slete negdje gdje uređaj vlasnik ima kontrolu. Ako privatna datoteka već postoji sa zadanim dozvolama, chmod 600 privatekey popravlja trenutnu datoteku i ne čini ništa s kopijama napravljenim ranije.

Zadržite privatnu polovinu na jednom uređaju

Privatna vrijednost pripada mašini koja će posjedovati identitet, u direktoriju koji ta mašina štiti i koji njene sigurnosne kopije tretiraju kao akreditiv. Ona ne pripada u zajedničku fasciklu, u poruku sebi ili u isječak priložen uz zahtjev za podršku, a ugrađena kopija čini konfiguracijsku datoteku jednako osjetljivom kao ključ. Ključ koji je živio na tri mjesta ne može se kasnije promisliti, i to je praktični razlog da ga držite na jednom.

Namjerno uništavanje povučene datoteke dio je iste navike. Ostavljanje u fascikli preuzimanja dok neko ne primijeti nije.

Šta operater partnera treba od vas

Drugoj strani treba javna vrijednost i raspored adresa koji je njen operater izabrao, ništa drugo. Pošaljite taj javni niz kanalom koji operater očekuje, pa potvrdite kojem unosu partnera je pridružen prije nego što ga iko testira, jer ispravan ključ u pogrešnom odjeljku pada na način koji izgleda kao problem s ključem. Pošaljite ga kao jedan neprelomljen red, jer ključ prelomljen na dva reda zalijepi se u konfiguracijsku datoteku bez prigovora i zatim nikada ne odgovara.

Generisanje ključa samo po sebi ništa ne ovlašćuje. Partner mora biti konfigurisan da ga prihvati, a korak konfiguracije pripada onome ko vodi taj kraj.

Testirajte par stvarnom razmjenom

Par ključeva identifikuje jedan kraj tunela; on ne stvara rutu, unos u razrješivaču, pravilo prosljeđivanja ni dozvolu na firewallu. Nakon što partner bude obezbijeđen, testirajte razmjenu, a ne datoteku: rukovanje koje se pojavi u wg show, adresu koja odgovara unutar tunela i jedan zahtjev aplikacije koji zavisi od rute. Ta trojka razdvaja pogrešan ključ od ispravnog ključa i nedostajuće putanje.

Držite jedan identitet po uređaju kada implementacija to dozvoljava, da se izgubljena jedinica može opozvati sama umjesto da sve prisili na ponovno generisanje ključeva. Ta odluka je i ono što proceduru zamjene ispod čini sigurnom za izvođenje.

Zamjena ključa bez praznine

Generirajte zamjenu na uređaju, dodajte novi javni ključ kao dodatnog partnera, potvrdite da nosi saobraćaj i tek tada uklonite stari. Izvođenje tim redoslijedom znači da tunel nikada nema trenutak bez valjanog identiteta, a vraćanje je jednostavno brisanje unosa koji ste upravo dodali.

Zadržite zamijenjenu privatnu datoteku dok novi partner ne bude potvrđen, a zatim je namjerno uništite. WireGuard brzi početak referenca je za same komande i dovoljno je kratak da ga pročitate u cjelini prije nego što počnete.