Lehen abioa: WireGuard gailuen flota batentzako erregistroa

Plaka irudi komunetik abiatzen da, DHCP lizentzia bat lortzen du, eta prestaketarako script bat exekutatzen da inork gailua ukitu aurretik. Script horretan nonbait WireGuard identitatea lortu behar du, plaka honi dagokiona eta besteri ez, identitate hori baimenduarazi eta pasabideak onartuko duen profil bat idatzi. Irudiak bezeroaren softwarea, berrikusitako txantiloia eta pasabidearen gako publikoa eraman ditzake. Inoiz eraman behar ez duena flota osoak partekatutako gako pribatu bakarra da, horrek plaka lapurtu bat flota osorako gertaera bihurtzen baitu. Beheko ordenak identitatea lokala eta baimena esplizitua mantentzen ditu.

Irudiak zer daraman eta zer ez

Bidali paketea, leku-markak dituen txantiloia, pasabidearen gako publikoa eta erregistro bezeroa. Txantiloia forma bat da, ez sekretua: prestaketa erabiltzailearentzat irakurgarria izan behar du eta ez du gako materialik eduki behar.

Gako pribatua gailuan sortzen da lehen abioan eta ez du inoiz hura uzten. Erdia publikoa bakarrik bidaiatzen du, erregistro eskaera baten barruan, gailuak bere buruaz egiten duen baieztapena ez den beste zerbaitengatik baimenduta. Bereizketa horrek eragozten du plaka lapurtu bat flota osorako arazo bihurtzea. Eta hori da lehen abioko script gehienek gaizki egiten duten zatia.

Urrats 1: sortu gakoa lokalean

Exekutatu sorrera direktorio babestu batean, azpiko sare konexioa onartuta eta funtzionatzen duenean. Azpi-shellak umask aldaketa eragiketa honetara mugatzen du, eta set -C-ek uko egiten dio lehendik dagoen fitxategi bat gainidazteari:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard abio azkarra dokumentuak erakusten du bi komando hauek oinarritzat duten gako sorreraren erlazioa. Sorrera eteten bada, utzi gailua erregistratu gabe eta utzi lan-fluxuari fitxategiak bateratzen. Ez ezabatu lehendik dagoen identitatea scripta hasieratik garbi ibiltzeko soilik.

Mantendu zain dagoen gakoa berriro saiatzeen artean. Sare hutsegite iragankor bakoitzaren ondoren identitatea berriz sortzea da flota peer umezurtzez beteta uzteko modua, inork gailu batekin parekatu ezin dituenak.

Urrats 2: baimendu gailu erregistro bat

Demagun inbentarioak plaka hau device-042 deitzen duela eta 10.90.0.42/32 esleitzen diola. Erregistro zerbitzuak egiaztatu behar du eskatzaile honek erregistro horretarako eskubidea duela. Inprimaki batean idatzitako serie zenbakia ez da froga, serie zenbakiak kaxaren kanpoko aldean inprimatuta daude eta.

Gailu bakoitzeko abio-kredentzial batek, operadore baten onespenak edo hardwareak babestutako atestazioak baiezta dezakete aldarrikapena. Babestu eskaeraren osotasuna eta erantzunaren benetakotasuna, eta ez ordeztu partekatutako VPN sekretu bat partekatutako fabrika kredentzial batekin.

Erregistratutako erregistroak gailua, bere gako publikoa, esleitutako helbidea eta baimendutako kudeaketa rola lotzen ditu. WireGuard-ek berak ez du erregistro APIrik definitzen, beraz zerbitzu hori nahita eraiki eta ustiatzen duzun zerbait da.

Urrats 3: idatzi bat datozen bi konfigurazio

Gailuak kudeaketa aurrizkiak tunelera bideratzen dituen profila behar du, eta pasabideak gailu honen iturburu helbidea bakarrik baimentzen duen peer sarrera bat behar du. Pasabidea 10.90.0.1-n eta kudeaketa sarea 10.60.0.0/16 denean, gailuaren aldea horrela ikusten da:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

Parentesi arteko balioak leku-markak dira, ez gakoak. Keepalive garrantzitsua da plaka NAT atzean dagoenean eta irisgarri egon behar duenean; ez da nonahi beharrezkoa, eta ohituraz gehitzeak irrati bat esnarazten du arrazoirik gabe.

Pasabidean, peer sarrera estua da diseinuz:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

Ez kopiatu gailuaren helburu zerrenda pasabideko peer sarrerara. Gailuan zerrenda horrek tunelera zer bideratu esaten du; pasabidean berriz peer honek zein iturburu helbide erabil ditzakeen esaten du, eta horiek baieztapen desberdinak dira.

Birbidaltzeak, suebaki arauek eta kudeaketa sarera itzultzeko bideak onartutako sarbidea baimendu behar dute oraindik. Erregistratutako peer bat ez da atzean dagoen aplikazio bakoitzerako baimena.

Urrats 4: berretsi erregistroa bizi-zikloaren egoera gisa

Aplikatu pasabidearen erregistroa eta gailuaren profila konfigurazio bakoitzaren jabearen bidez, eta gero markatu erregistroa osatuta soilik aurreikusitako identitatea eta helbidea onartzen direnean. Berriro saiatzeek erregistro hori bera bateratu beharko lukete, bigarren peer edo bigarren helbide bat esleitu beharrean.

Mantendu berreskuratze bide bat etendako prestaketarako, pasabideak gakoa onartu eta gailuak inoiz bere profila idatzi ez zuen kasua barne.

Plaka bat ordezkatzen edo erretiratzen denean, kendu bere gako publikoa eta bere baimena batera. Gako berri bat berrerregistratze gertaera deliberatua da, ez irudi berri baten alboko efektua. Lan ordena: lokalean sortu, inbentarioaren aurka baimendu, bi aldeak idatzi, egoera berretsi, eta gero kudeaketa eskaera bat probatu tunelaren bidez.