Luo WireGuard-avainpari paikallisesti: komennot ja varovaisuus

Kaksi komentoa luo WireGuard-avainparin, ja molemmat tulevat vakiopakettien mukana, joten tämä tehtävä ei tarvitse verkkosivua, joka tarjoaa avaimen tekemistä puolestasi. Se, mikä menee pieleen, ei ole koskaan käyrän aritmetiikka; kyse on oikeusbiteistä, siitä mihin tiedosto päätyy ja siitä, mitä sen jälkeen lähetetään toiseen päähän. Alla oleva järjestys alkaa tyhjästä hakemistosta ja päättyy vastapuoleen, joka kuljettaa liikennettä. Lue se kerran ennen suorittamista, koska ensimmäinen rivi on merkityksellinen vain, jos seuraava ajetaan samassa kuoressa.

Parin luominen yhdessä kuoressa

Dokumentoitu työnkulku rajoittaa tiedostojen luontia ennen kuin yksityinen arvo on olemassa, ja johtaa sitten julkisen arvon siitä. Kaikki kolme riviä kuuluvat yhteen samaan kuori-istuntoon:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey kirjoittaa 32-tavuisen yksityisen Curve25519-avaimen base64-muodossa; wg pubkey lukee sen ja johtaa vastaavan julkisen avaimen, ja tee tallentaa yksityisen arvon samalla kun välittää sen putkea pitkin eteenpäin. Tämä järjestys on syy siihen, miksi oikeusrivi tulee ensin, ja siihen, miksi putkijonon liittäminen toiseen päätteeseen kadottaa sen ääneti. Tiedostonimet ovat havainnollisia, ja tärkeää on, että molemmat tiedostot päätyvät paikkaan, jota omistava laite hallitsee. Jos yksityinen tiedosto on jo olemassa oletusoikeuksilla, chmod 600 privatekey korjaa nykyisen tiedoston eikä tee mitään aiemmin otetuille kopioille.

Pidä yksityinen puolisko yhdellä laitteella

Yksityinen arvo kuuluu koneelle, joka tulee omistamaan identiteetin, hakemistoon, jota se kone suojaa ja jota sen varmuuskopiot kohtelevat valtuutena. Se ei kuulu jaettuun kansioon, viestiin itselle eikä tukipyyntöön liitettyyn katkelmaan, ja upotettu kopio tekee asetustiedostosta täsmälleen yhtä arkaluontoisen kuin avaimesta. Avainta, joka on elänyt kolmessa paikassa, ei voi myöhemmin järkeillä, ja se on käytännöllinen syy pitää se yhdessä.

Käytöstä poistetun tiedoston tarkoituksellinen tuhoaminen on osa samaa tapaa. Sen jättäminen latauskansioon, kunnes joku huomaa, ei ole.

Mitä vastapuolen ylläpitäjä tarvitsee sinulta

Toinen puoli tarvitsee julkisen arvon ja sen ylläpitäjän valitseman osoitejärjestelyn, ei mitään muuta. Lähetä se julkinen merkkijono kanavaa pitkin, jota ylläpitäjä odottaa, ja vahvista sitten, mihin vastapuolimerkintään se liitettiin, ennen kuin kukaan testaa sitä, koska oikea avain väärässä osiossa epäonnistuu tavalla, joka näyttää avainongelmalta. Lähetä se yhtenä taittamattomana rivinä, koska kahdelle riville katkennut avain liitetään asetustiedostoon valittamatta ja jää sen jälkeen aina sopimatta.

Avaimen luominen ei itsessään valtuuta mitään. Vastapuoli on määritettävä hyväksymään se, ja määritysvaihe kuuluu sille, joka hallitsee sitä päätä.

Testaa pari todellisella vaihdolla

Avainpari yksilöi tunnelin toisen pään; se ei luo reittiä, resolverimerkintää, välityssääntöä eikä palomuurin sallintaa. Kun vastapuoli on valmisteltu, testaa vaihtoa tiedoston sijaan: kättely, joka näkyy komennon wg show tulosteessa, osoite, joka vastaa tunnelin sisällä, ja yksi sovelluksen pyyntö, joka riippuu reitistä. Tämä kolmikko erottaa väärän avaimen oikeasta avaimesta ja puuttuvasta polusta.

Pidä yksi identiteetti laitetta kohden, kun käyttöönotto sen sallii, jotta kadonnut yksikkö voidaan peruuttaa yksinään sen sijaan, että kaikki pakotettaisiin luomaan avaimet uudelleen. Tämä päätös tekee myös alla olevasta vaihtomenettelystä turvallisen suorittaa.

Avaimen vaihtaminen ilman aukkoa

Luo korvaava avain laitteella, lisää uusi julkinen avain ylimääräisenä vastapuolena, vahvista, että se kuljettaa liikennettä, ja vasta sitten poista vanha. Tässä järjestyksessä toimiminen tarkoittaa, että tunnelilla ei ole hetkeäkään ilman kelvollista identiteettiä, ja peruutus on yksinkertaisesti juuri lisätyn merkinnän poistaminen.

Pidä korvattu yksityinen tiedosto, kunnes uusi vastapuoli on vahvistettu, ja tuhoa se sitten tarkoituksella. WireGuardin pika-aloitus on viite itse komennoille, ja se on tarpeeksi lyhyt luettavaksi kokonaan ennen aloittamista.