Loo WireGuardi võtmepaar kohapeal: käsud ja ettevaatus

Kaks käsku loovad WireGuardi võtmepaari ja mõlemad tulevad standardsete tööriistadega, nii et see ülesanne ei vaja veebilehte, mis pakub teie eest võtit teha. See, mis valesti läheb, ei ole kunagi kõvera aritmeetika; need on õiguste bitid, koht, kuhu fail maandub, ja see, mis pärast teisele poole saadetakse. Allolev järjestus algab tühjas kataloogis ja lõpeb partneri juures, mis kannab liiklust. Lugege see enne käivitamist korra läbi, sest esimene rida on oluline ainult siis, kui järgmine jookseb samas kestas.

Paari loomine ühes kestas

Dokumenteeritud töövoog piirab failide loomist enne, kui privaatne väärtus on olemas, ja tuletab seejärel sellest avaliku väärtuse. Kõik kolm rida kuuluvad kokku ühte kesta seanssi:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey kirjutab 32-baidise privaatse Curve25519 võtme base64-s; wg pubkey loeb selle ja tuletab vastava avaliku võtme ning tee salvestab privaatse väärtuse, samal ajal kui annab selle toru kaudu edasi. Just see järjekord on põhjus, miks õiguste rida tuleb esimesena, ja miks torujuhtme kleepimine teise terminali selle vaikselt kaotab. Failinimed on näitlikud ja oluline on, et mõlemad failid maanduksid kuhugi, mida valdav seade kontrollib. Kui privaatne fail on juba vaikeõigustega olemas, parandab chmod 600 privatekey praeguse faili ega tee midagi varem tehtud koopiate kohta.

Hoia privaatne pool ühes seadmes

Privaatne väärtus kuulub masinale, mis identiteeti valdama hakkab, kataloogi, mida see masin kaitseb ja mida tema varukoopiad kohtlevad volitusena. See ei kuulu jagatud kausta, sõnumisse iseendale ega tugipileti juurde lisatud katkendisse, ja manustatud koopia teeb konfiguratsioonifaili täpselt sama tundlikuks kui võti. Võtit, mis on elanud kolmes kohas, ei saa hiljem läbi mõelda, ja see on praktiline põhjus hoida seda ühes.

Kasutusest kõrvaldatud faili tahtlik hävitamine on osa samast harjumusest. Selle jätmine allalaadimiste kausta, kuni keegi märkab, ei ole.

Mida partneri operaator sinult vajab

Teine pool vajab avalikku väärtust ja selle operaatori valitud aadressikorraldust, ei midagi muud. Saada see avalik string kanalis, mida operaator ootab, seejärel kinnita, millise partneri kirjega see ühendati, enne kui keegi seda testib, sest õige võti vales jaotises ebaõnnestub viisil, mis näeb välja nagu võtmeprobleem. Saada see ühe murdmata reana, sest kahele reale murtud võti kleebitakse konfiguratsioonifaili ilma kaebuseta ja ei sobi pärast seda kunagi.

Võtme loomine ei volita iseenesest midagi. Partner tuleb seadistada seda aktsepteerima ja seadistamise samm kuulub sellele, kes seda otsa haldab.

Testi paari tõelise vahetusega

Võtmepaar identifitseerib tunneli ühe otsa; see ei loo marsruuti, lahendaja kirjet, edastusreeglit ega tulemüüri luba. Pärast partneri ettevalmistamist testi vahetust, mitte faili: kätlus, mis ilmub väljundis wg show, aadress, mis vastab tunneli sees, ja üks rakenduse päring, mis sõltub marsruudist. See kolmik eraldab vale võtme õigest võtmest ja puuduvast teest.

Hoia üks identiteet seadme kohta, kui juurutus seda lubab, et kadunud üksus saaks iseseisvalt tühistada, selle asemel et sundida kõiki võtmeid uuesti looma. See otsus teeb ka alloleva asendusprotseduuri ohutuks käivitada.

Võtme asendamine ilma lünkata

Loo asendus seadmes, lisa uus avalik võti täiendava partnerina, kinnita, et see kannab liiklust, ja alles siis eemalda vana. Selles järjekorras toimimine tähendab, et tunnelil ei ole kunagi hetke ilma kehtiva identiteedita, ja tagasipööramine on lihtsalt äsja lisatud kirje kustutamine.

Hoia asendatud privaatset faili, kuni uus partner on kinnitatud, ja hävita see siis tahtlikult. WireGuardi kiirstart on viide käskudele endile ja see on piisavalt lühike, et see enne alustamist tervikuna läbi lugeda.