Δημιουργήστε ένα ζεύγος κλειδιών WireGuard τοπικά: εντολές και προσοχή

Δύο εντολές δημιουργούν ένα ζεύγος κλειδιών WireGuard και οι δύο έρχονται με τα τυπικά εργαλεία, οπότε αυτή η εργασία δεν χρειάζεται ιστότοπο που προσφέρεται να φτιάξει κλειδί για εσάς. Αυτό που πάει στραβά δεν είναι ποτέ η αριθμητική της καμπύλης· είναι τα δυφία δικαιωμάτων, το σημείο όπου προσγειώνεται το αρχείο και το τι στέλνεται μετά στην άλλη άκρη. Η ακολουθία παρακάτω ξεκινά σε έναν κενό κατάλογο και τελειώνει σε έναν ομότιμο που μεταφέρει κίνηση. Διαβάστε την μία φορά πριν την εκτελέσετε, γιατί η πρώτη γραμμή έχει σημασία μόνο αν η επόμενη εκτελεστεί στο ίδιο κέλυφος.

Δημιουργία του ζεύγους σε ένα κέλυφος

Η τεκμηριωμένη ροή εργασίας περιορίζει τη δημιουργία αρχείων πριν υπάρξει η ιδιωτική τιμή και μετά παράγει τη δημόσια τιμή από αυτήν. Και οι τρεις γραμμές ανήκουν μαζί σε μία συνεδρία κελύφους:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey γράφει ένα ιδιωτικό κλειδί Curve25519 των 32 byte σε base64· το wg pubkey το διαβάζει και παράγει το αντίστοιχο δημόσιο κλειδί, και το tee αποθηκεύει την ιδιωτική τιμή ενώ τη μεταβιβάζει προς τα κάτω στον αγωγό. Αυτή η σειρά είναι ο λόγος που η γραμμή δικαιωμάτων έρχεται πρώτη και που η επικόλληση του αγωγού σε δεύτερο τερματικό τη χάνει σιωπηλά. Τα ονόματα αρχείων είναι ενδεικτικά και το σημαντικό είναι ότι και τα δύο αρχεία προσγειώνονται κάπου που ελέγχει η συσκευή ιδιοκτήτης. Αν ένα ιδιωτικό αρχείο υπάρχει ήδη με προεπιλεγμένα δικαιώματα, το chmod 600 privatekey διορθώνει το τρέχον αρχείο και δεν κάνει τίποτα για αντίγραφα που έγιναν νωρίτερα.

Κρατήστε το ιδιωτικό μισό σε μία συσκευή

Η ιδιωτική τιμή ανήκει στη μηχανή που θα κατέχει την ταυτότητα, σε έναν κατάλογο που η μηχανή αυτή προστατεύει και που τα αντίγραφα ασφαλείας της τον αντιμετωπίζουν ως διαπιστευτήριο. Δεν ανήκει σε κοινόχρηστο φάκελο, σε μήνυμα προς τον εαυτό σας ή σε απόσπασμα συνημμένο σε αίτημα υποστήριξης, και ένα ενσωματωμένο αντίγραφο κάνει το αρχείο ρυθμίσεων εξίσου ευαίσθητο με το κλειδί. Ένα κλειδί που έζησε σε τρία σημεία δεν μπορεί να συλλογιστεί κανείς αργότερα, και αυτός είναι ο πρακτικός λόγος να το κρατάτε σε ένα.

Η σκόπιμη καταστροφή ενός αρχείου που αποσύρθηκε είναι μέρος της ίδιας συνήθειας. Το να το αφήσετε σε φάκελο λήψεων μέχρι να το προσέξει κάποιος δεν είναι.

Τι χρειάζεται από εσάς ο χειριστής του ομότιμου

Η άλλη πλευρά χρειάζεται τη δημόσια τιμή και τη διάταξη διευθύνσεων που επέλεξε ο χειριστής της, τίποτα άλλο. Στείλτε αυτή τη δημόσια συμβολοσειρά από το κανάλι που περιμένει ο χειριστής και μετά επιβεβαιώστε σε ποια καταχώριση ομότιμου προσαρτήθηκε πριν τη δοκιμάσει κανείς, γιατί ένα σωστό κλειδί στη λάθος ενότητα αποτυγχάνει με τρόπο που μοιάζει με πρόβλημα κλειδιού. Στείλτε το ως μία αδίπλωτη γραμμή, γιατί ένα κλειδί σπασμένο σε δύο γραμμές επικολλάται σε αρχείο ρυθμίσεων χωρίς παράπονο και μετά δεν ταιριάζει ποτέ.

Η δημιουργία κλειδιού δεν εξουσιοδοτεί τίποτα από μόνη της. Ο ομότιμος πρέπει να ρυθμιστεί ώστε να το δεχτεί, και το βήμα ρύθμισης ανήκει σε όποιον διαχειρίζεται εκείνη την άκρη.

Δοκιμάστε το ζεύγος με πραγματική ανταλλαγή

Ένα ζεύγος κλειδιών προσδιορίζει το ένα άκρο μιας σήραγγας· δεν δημιουργεί διαδρομή, καταχώριση επιλυτή, κανόνα προώθησης ή άδεια τείχους προστασίας. Αφού παρασχεθεί ο ομότιμος, δοκιμάστε την ανταλλαγή και όχι το αρχείο: μια χειραψία που εμφανίζεται στο wg show, μια διεύθυνση που απαντά μέσα στη σήραγγα και ένα αίτημα εφαρμογής που εξαρτάται από τη διαδρομή. Αυτή η τριάδα ξεχωρίζει ένα λάθος κλειδί από ένα σωστό κλειδί και μια διαδρομή που λείπει.

Κρατήστε μία ταυτότητα ανά συσκευή όταν η ανάπτυξη το επιτρέπει, ώστε μια χαμένη μονάδα να ανακαλείται μόνη της αντί να αναγκάζει όλους να δημιουργήσουν νέα κλειδιά. Αυτή η απόφαση είναι επίσης αυτό που κάνει τη διαδικασία αντικατάστασης παρακάτω ασφαλή για εκτέλεση.

Αντικατάσταση κλειδιού χωρίς κενό

Δημιουργήστε την αντικατάσταση στη συσκευή, προσθέστε το νέο δημόσιο κλειδί ως πρόσθετο ομότιμο, επιβεβαιώστε ότι μεταφέρει κίνηση και μόνο τότε αφαιρέστε το παλιό. Το να γίνει με αυτή τη σειρά σημαίνει ότι η σήραγγα δεν έχει ποτέ στιγμή χωρίς έγκυρη ταυτότητα, και η επαναφορά είναι απλώς η διαγραφή της καταχώρισης που μόλις προσθέσατε.

Κρατήστε το αντικατασταθέν ιδιωτικό αρχείο μέχρι να επιβεβαιωθεί ο νέος ομότιμος και μετά καταστρέψτε το σκόπιμα. Η γρήγορη εκκίνηση του WireGuard είναι η αναφορά για τις ίδιες τις εντολές και είναι αρκετά σύντομη ώστε να τη διαβάσετε ολόκληρη πριν ξεκινήσετε.