Vygenerujte pár klíčů WireGuard lokálně: příkazy a opatrnost

Dva příkazy vygenerují pár klíčů WireGuard a oba přicházejí se standardními nástroji, takže tento úkol nepotřebuje web, který by vám klíč nabídl vytvořit. Co se pokazí, není nikdy aritmetika křivky; jsou to bity oprávnění, místo, kam soubor přistane, a co se potom pošle na druhý konec. Postup níže začíná v prázdném adresáři a končí u protějšku, který nese provoz. Přečtěte si ho jednou před spuštěním, protože první řádek má význam jen tehdy, když se další spustí ve stejné skořápce.

Vytvoření páru v jedné skořápce

Dokumentovaný postup omezuje vytváření souborů dřív, než soukromá hodnota existuje, a potom z ní odvodí veřejnou hodnotu. Všechny tři řádky patří dohromady do jedné relace skořápky:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey zapíše 32bajtový soukromý klíč Curve25519 v base64; wg pubkey ho přečte a odvodí odpovídající veřejný klíč a tee uloží soukromou hodnotu, zatímco ji předává dál rourou. Kvůli tomuto pořadí přichází řádek s oprávněními první a kvůli němu vložení roury do druhého terminálu tiše selže. Názvy souborů jsou ilustrační a důležité je, že oba soubory přistanou někde, co vlastnící zařízení kontroluje. Pokud soukromý soubor už existuje s výchozími oprávněními, chmod 600 privatekey opraví aktuální soubor a s dříve pořízenými kopiemi neudělá nic.

Udržte soukromou polovinu na jednom zařízení

Soukromá hodnota patří stroji, který bude identitu vlastnit, do adresáře, který ten stroj chrání a který jeho zálohy považují za přihlašovací údaj. Nepatří do sdílené složky, do zprávy sobě ani do úryvku přiloženého k tiketu podpory a vložená kopie dělá konfigurační soubor stejně citlivým jako klíč. Klíč, který žil na třech místech, nelze později promyslet, a to je praktický důvod, proč ho držet na jednom.

Záměrné zničení vyřazeného souboru je součástí stejného návyku. Nechat ho ve složce stažených souborů, dokud si toho někdo nevšimne, není.

Co od vás operátor protějšku potřebuje

Druhá strana potřebuje veřejnou hodnotu a uspořádání adres, které její operátor zvolil, nic jiného. Pošlete ten veřejný řetězec kanálem, který operátor očekává, a potom potvrďte, ke kterému záznamu protějšku byl připojen, než ho někdo otestuje, protože správný klíč ve špatné sekci selže způsobem, který vypadá jako problém s klíčem. Posílejte ho jako jediný nezalomovaný řádek, protože klíč zlomený na dva řádky se do konfiguračního souboru vloží bez stížnosti a potom nikdy nesedí.

Vygenerování klíče samo o sobě nic neopravňuje. Protějšek musí být nakonfigurován, aby ho přijal, a krok konfigurace patří tomu, kdo ten konec spravuje.

Otestujte pár skutečnou výměnou

Pár klíčů identifikuje jeden konec tunelu; nevytváří trasu, záznam v překladači, pravidlo předávání ani povolení ve firewallu. Až je protějšek zajištěn, testujte výměnu, ne soubor: handshake, který se objeví v wg show, adresa, která uvnitř tunelu odpovídá, a jeden požadavek aplikace, který závisí na trase. Tahle trojice odděluje špatný klíč od správného klíče a chybějící cesty.

Držte jednu identitu na zařízení, když to nasazení dovolí, aby ztracenou jednotku bylo možné odvolat samostatně, místo aby to nutilo všechny znovu generovat klíče. To rozhodnutí také dělá níže uvedený postup nahrazení bezpečným ke spuštění.

Nahrazení klíče bez mezery

Vygenerujte náhradu na zařízení, přidejte nový veřejný klíč jako další protějšek, potvrďte, že nese provoz, a teprve potom odeberte starý. Provádění v tomto pořadí znamená, že tunel nikdy nemá okamžik bez platné identity, a vrácení zpět je prostě smazání záznamu, který jste právě přidali.

Ponechte nahrazený soukromý soubor, dokud není nový protějšek potvrzen, a pak ho záměrně zničte. Rychlý start WireGuard je referencí k samotným příkazům a je dost krátký na to, abyste ho před začátkem přečetli celý.