Genereu un parell de claus WireGuard en local: ordres i cura

Dues ordres generen un parell de claus WireGuard i totes dues venen amb les eines estàndard, així que aquesta tasca no necessita cap lloc web que s’ofereixi a crear una clau per vosaltres. El que falla mai no és l’aritmètica de la corba; són els bits de permisos, el lloc on cau el fitxer i què s’envia després a l’altre extrem. La seqüència de sota comença en un directori buit i acaba en un parell remot que porta trànsit. Llegiu-la un cop abans d’executar-la, perquè la primera línia només importa si la següent s’executa al mateix intèrpret.

Generar el parell en un sol intèrpret

El flux de treball documentat restringeix la creació de fitxers abans que existeixi el valor privat i després en deriva el valor públic. Les tres línies van juntes en una sola sessió d’intèrpret:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey escriu una clau privada Curve25519 de 32 bytes en base64; wg pubkey la llegeix i en deriva la clau pública corresponent, i tee desa el valor privat mentre el passa cap avall pel conducte. Aquest ordre és la raó per la qual la línia de permisos va primer i per la qual enganxar la canonada en un segon terminal la perd suaument. Els noms dels fitxers són il·lustratius, i el que importa és que tots dos fitxers caiguin en un lloc que controli el dispositiu propietari. Si ja existeix un fitxer privat amb permisos per defecte, chmod 600 privatekey arregla el fitxer actual i no fa res amb les còpies fetes abans.

Mantenir la meitat privada en un sol dispositiu

El valor privat pertany a la màquina que posseirà la identitat, en un directori que aquesta màquina protegeix i que les seves còpies de seguretat tracten com una credencial. No pertany a una carpeta compartida, ni a un missatge a un mateix, ni a un fragment adjunt a un tiquet de suport, i una còpia incrustada fa que el fitxer de configuració sigui tan sensible com la clau. Una clau que ha viscut en tres llocs no es pot raonar després, i aquesta és la raó pràctica per tenir-la en un de sol.

Destruir deliberadament un fitxer retirat forma part del mateix hàbit. Deixar-lo en una carpeta de baixades fins que algú el noti, no.

Què necessita de vosaltres l’operador del parell remot

L’altre costat necessita el valor públic i la disposició d’adreces que ha triat el seu operador, res més. Envieu aquesta cadena pública pel canal que l’operador esperi i després confirmeu a quina entrada de parell remot es va adjuntar abans que ningú la provi, perquè una clau correcta a la secció equivocada falla d’una manera que sembla un problema de clau. Envieu-la com una sola línia sense trencar, perquè una clau trencada en dues línies s’enganxa al fitxer de configuració sense queixa i després no coincideix mai.

Generar una clau no autoritza res per si sol. Cal configurar el parell remot perquè l’accepti, i el pas de configuració correspon a qui gestiona aquell extrem.

Provar el parell amb un intercanvi real

Un parell de claus identifica un extrem d’un túnel; no crea cap ruta, cap entrada de resolució, cap regla de reenviament ni cap permís de tallafocs. Un cop aprovisionat el parell remot, proveu l’intercanvi i no el fitxer: un handshake que apareix a wg show, una adreça que respon dins del túnel i una sol·licitud d’aplicació que depèn de la ruta. Aquest trio separa una clau equivocada d’una clau correcta i d’un camí que falta.

Manteniu una identitat per dispositiu quan el desplegament ho permeti, perquè una unitat perduda es pugui revocar sola en lloc d’obligar tothom a tornar a generar claus. Aquesta decisió és també el que fa segur d’executar el procediment de substitució d’aquí baix.

Substituir una clau sense forat

Genereu la substitució al dispositiu, afegiu la clau pública nova com a parell remot addicional, confirmeu que porta trànsit i només després traieu la vella. Fer-ho en aquest ordre vol dir que el túnel mai no té un moment sense identitat vàlida, i la reversió és simplement esborrar l’entrada que acabeu d’afegir.

Manteniu el fitxer privat substituït fins que es confirmi el parell remot nou i després destruïu-lo a propòsit. La guia d’inici ràpid de WireGuard és la referència per a les ordres mateixes, i és prou curt per llegir-lo sencer abans de començar.