Generi WireGuard-ŝlosilparon loke: komandoj kaj atento

Du komandoj generas WireGuard-ŝlosilparon kaj ambaŭ venas kun la normaj iloj, do ĉi tiu tasko bezonas neniun retejon, kiu proponas fari ŝlosilon por vi. Tio, kio misfunkcias, neniam estas la kurba aritmetiko; temas pri la permesaj bitoj, la loko, kie la dosiero surteriĝas, kaj kio poste estas sendita al la alia flanko. La sekvenco sube komenciĝas en malplena dosierujo kaj finiĝas ĉe kunulo, kiu portas trafikon. Legu ĝin unufoje antaŭ ol ruli ĝin, ĉar la unua linio gravas nur se la sekva ruliĝas en la sama ŝelo.

Generi la paron en unu ŝelo

La dokumentita laborfluo limigas dosierkreadon antaŭ ol la privata valoro ekzistas, kaj poste derivas la publikan valoron el ĝi. Ĉiuj tri linioj apartenas kune en unu ŝelsesio:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey skribas 32-bajtan privatan ŝlosilon Curve25519 en base64; wg pubkey legas ĝin kaj derivas la kongruan publikan ŝlosilon, kaj tee konservas la privatan valoron dum ĝi pasas ĝin malsupren la trakon. Tiu ordo estas kial la permesa linio venas unue, kaj kial enmeti la trakon en duan terminalon silente perdas ĝin. La dosiernomoj estas ilustraj, kaj gravas, ke ambaŭ dosieroj surteriĝas ie, kion la posedanta aparato kontrolas. Se privata dosiero jam ekzistas kun defaŭltaj permesoj, chmod 600 privatekey riparas la nunan dosieron kaj faras nenion pri kopioj faritaj pli frue.

Tenu la privatan duonon sur unu aparato

La privata valoro apartenas al la maŝino, kiu posedos la identecon, en dosierujo, kiun tiu maŝino protektas kaj kiun ĝiaj sekurkopioj traktas kiel akreditilon. Ĝi ne apartenas en komuna dosierujo, en mesaĝo al vi mem, aŭ en eltondaĵo alkroĉita al subtena bileto, kaj enigita kopio faras la agordan dosieron same senteman kiel la ŝlosilo. Ŝlosilo, kiu vivis en tri lokoj, ne povas esti pririgardita poste, kaj tio estas la praktika kialo teni ĝin en unu.

Intence detrui malaktivan dosieron estas parto de la sama kutimo. Lasi ĝin en elŝuta dosierujo ĝis iu rimarkos, ne estas.

Kion la funkciiganto de la kunulo bezonas de vi

La alia flanko bezonas la publikan valoron kaj la adresan aranĝon, kiun ĝia funkciiganto elektis, nenion alian. Sendu tiun publikan ĉenon per la kanalo, kiun la funkciiganto atendas, poste konfirmu, al kiu kunula ero ĝi estis alkroĉita antaŭ ol iu testos ĝin, ĉar ĝusta ŝlosilo en la malĝusta sekcio malsukcesas tiel, ke ĝi aspektas kiel ŝlosila problemo. Sendu ĝin kiel unu nefalditan linion, ĉar ŝlosilo rompita super du linioj enmetiĝas reen en agordan dosieron sen plendo kaj poste neniam kongruas.

Generi ŝlosilon mem permesas nenion. La kunulo devas esti agordita por akcepti ĝin, kaj la agorda paŝo apartenas al tiu, kiu funkciigas tiun finon.

Testu la paron per reala interŝanĝo

Ŝlosilparo identigas unu finon de tunelo; ĝi kreas neniun itineron, neniun solvan eron, neniun plusendan regulon kaj neniun fajroŝirman permeson. Post kiam la kunulo estas provizita, testu la interŝanĝon anstataŭ la dosieron: manpremo, kiu aperas en wg show, adreso, kiu respondas ene de la tunelo, kaj unu aplika peto, kiu dependas de la itinero. Tiu triopo apartigas malĝustan ŝlosilon de ĝusta ŝlosilo kaj mankanta vojo.

Tenu unu identecon po aparato, kiam la deplojo tion permesas, por ke perdita unuo povu esti revokita sola anstataŭ devigi ĉiujn regiŝlosili. Tiu decido ankaŭ estas tio, kio igas la anstataŭigan proceduron sube sekura por ruli.

Anstataŭigi ŝlosilon sen breĉo

Generu la anstataŭaĵon sur la aparato, aldonu la novan publikan ŝlosilon kiel plian kunulon, konfirmu, ke ĝi portas trafikon, kaj nur poste forigu la malnovan. Fari tion en tiu ordo signifas, ke la tunelo neniam havas momenton sen valida identeco, kaj la retroigo estas simple forigi la eron, kiun vi ĵus aldonis.

Tenu la anstataŭigitan privatan dosieron ĝis la nova kunulo estos konfirmita, poste detruu ĝin intence. La rapida komenco de WireGuard estas la referenco por la komandoj mem, kaj ĝi estas sufiĉe mallonga por legi ĝin tute antaŭ ol vi komencos.