Genere un par de claves WireGuard en local: órdenes y cuidado

Dos órdenes generan un par de claves WireGuard y ambas vienen con las herramientas estándar, así que esta tarea no necesita ningún sitio web que se ofrezca a crear una clave por usted. Lo que falla nunca es la aritmética de la curva; son los bits de permisos, el lugar donde cae el archivo y lo que después se envía al otro extremo. La secuencia de abajo empieza en un directorio vacío y termina en un par remoto que transporta tráfico. Léala una vez antes de ejecutarla, porque la primera línea solo importa si la siguiente se ejecuta en el mismo intérprete.

Generar el par en un solo intérprete

El flujo de trabajo documentado restringe la creación de archivos antes de que exista el valor privado y después deriva de él el valor público. Las tres líneas van juntas en una sola sesión de intérprete:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey escribe una clave privada Curve25519 de 32 bytes en base64; wg pubkey la lee y deriva la clave pública correspondiente, y tee guarda el valor privado mientras lo pasa hacia abajo por la tubería. Ese orden es la razón de que la línea de permisos vaya primero y de que pegar la tubería en un segundo terminal la pierda en silencio. Los nombres de archivo son ilustrativos, y lo que importa es que ambos archivos caigan en un lugar que controle el dispositivo propietario. Si ya existe un archivo privado con permisos predeterminados, chmod 600 privatekey arregla el archivo actual y no hace nada con las copias hechas antes.

Mantener la mitad privada en un solo dispositivo

El valor privado pertenece a la máquina que poseerá la identidad, en un directorio que esa máquina protege y que sus copias de seguridad tratan como una credencial. No pertenece a una carpeta compartida, ni a un mensaje a sí mismo, ni a un fragmento adjunto a un tique de soporte, y una copia incrustada hace que el archivo de configuración sea exactamente tan sensible como la clave. Una clave que ha vivido en tres lugares no se puede razonar después, y esa es la razón práctica para tenerla en uno.

Destruir deliberadamente un archivo retirado forma parte del mismo hábito. Dejarlo en una carpeta de descargas hasta que alguien lo note, no.

Qué necesita de usted el operador del par remoto

El otro lado necesita el valor público y la disposición de direcciones que ha elegido su operador, nada más. Envíe esa cadena pública por el canal que el operador espere y después confirme a qué entrada de par remoto se adjuntó antes de que alguien la pruebe, porque una clave correcta en la sección equivocada falla de una manera que parece un problema de clave. Envíela como una sola línea sin partir, porque una clave partida en dos líneas se pega en el archivo de configuración sin queja y después nunca coincide.

Generar una clave no autoriza nada por sí solo. Hay que configurar el par remoto para que la acepte, y el paso de configuración corresponde a quien gestiona ese extremo.

Probar el par con un intercambio real

Un par de claves identifica un extremo de un túnel; no crea ninguna ruta, ninguna entrada de resolución, ninguna regla de reenvío ni ningún permiso de cortafuegos. Una vez aprovisionado el par remoto, pruebe el intercambio en lugar del archivo: un handshake que aparece en wg show, una dirección que responde dentro del túnel y una solicitud de aplicación que depende de la ruta. Ese trío separa una clave equivocada de una clave correcta y de un camino que falta.

Mantenga una identidad por dispositivo cuando el despliegue lo permita, para que una unidad perdida pueda revocarse sola en lugar de obligar a todos a regenerar claves. Esa decisión es también lo que hace seguro ejecutar el procedimiento de sustitución de abajo.

Sustituir una clave sin hueco

Genere el reemplazo en el dispositivo, añada la nueva clave pública como un par remoto adicional, confirme que transporta tráfico y solo entonces retire la antigua. Hacerlo en ese orden significa que el túnel nunca tiene un momento sin identidad válida, y la reversión es simplemente borrar la entrada que acaba de añadir.

Mantenga el archivo privado sustituido hasta que se confirme el nuevo par remoto y después destrúyalo a propósito. La guía de inicio rápido de WireGuard es la referencia para las órdenes mismas, y es lo bastante corta para leerla entera antes de empezar.