Générer une paire de clés WireGuard en local : commandes et précautions

Deux commandes génèrent une paire de clés WireGuard et toutes deux arrivent avec les outils standard, donc cette tâche n’a besoin d’aucun site qui propose de créer une clé pour vous. Ce qui casse n’est jamais l’arithmétique de la courbe ; ce sont les bits de permissions, l’endroit où le fichier atterrit et ce qui est ensuite envoyé à l’autre bout. La séquence ci-dessous part d’un répertoire vide et se termine sur un pair qui porte du trafic. Lisez-la une fois avant de l’exécuter, car la première ligne ne compte que si la suivante tourne dans le même shell.

Générer la paire dans un seul shell

Le flux de travail documenté restreint la création de fichiers avant que la valeur privée existe, puis dérive la valeur publique de celle-ci. Les trois lignes vont ensemble dans une seule session de shell :

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey écrit une clé privée Curve25519 de 32 octets en base64 ; wg pubkey la lit et dérive la clé publique correspondante, et tee enregistre la valeur privée tout en la faisant descendre dans le tube. Cet ordre explique pourquoi la ligne de permissions vient en premier et pourquoi coller le tube dans un second terminal la perd silencieusement. Les noms de fichiers sont illustratifs, et l’important est que les deux fichiers atterrissent là où l’appareil propriétaire garde le contrôle. Si un fichier privé existe déjà avec les permissions par défaut, chmod 600 privatekey corrige le fichier courant et ne fait rien pour les copies faites plus tôt.

Garder la moitié privée sur un seul appareil

La valeur privée appartient à la machine qui possédera l’identité, dans un répertoire que cette machine protège et que ses sauvegardes traitent comme un identifiant. Elle n’a pas sa place dans un dossier partagé, dans un message à vous-même ou dans un extrait joint à un ticket d’assistance, et une copie embarquée rend le fichier de configuration exactement aussi sensible que la clé. Une clé qui a vécu à trois endroits ne peut plus être raisonnée ensuite, et c’est la raison pratique de la garder à un seul.

Détruire délibérément un fichier retiré fait partie de la même habitude. Le laisser dans un dossier de téléchargements jusqu’à ce que quelqu’un le remarque, non.

Ce que l’opérateur du pair attend de vous

L’autre côté a besoin de la valeur publique et de l’agencement d’adresses choisi par son opérateur, rien d’autre. Envoyez cette chaîne publique par le canal que l’opérateur attend, puis confirmez à quelle entrée de pair elle a été rattachée avant que quiconque la teste, car une clé correcte dans la mauvaise section échoue d’une manière qui ressemble à un problème de clé. Envoyez-la comme une seule ligne non repliée, car une clé coupée sur deux lignes se colle dans un fichier de configuration sans protestation et ne correspond ensuite jamais.

Générer une clé n’autorise rien en soi. Le pair doit être configuré pour l’accepter, et l’étape de configuration revient à celui qui exploite ce bout.

Tester la paire par un échange réel

Une paire de clés identifie une extrémité d’un tunnel ; elle ne crée ni route, ni entrée de résolution, ni règle de transfert, ni autorisation de pare-feu. Une fois le pair provisionné, testez l’échange plutôt que le fichier : une poignée de main qui apparaît dans wg show, une adresse qui répond à l’intérieur du tunnel et une requête applicative qui dépend de la route. Ce trio sépare une clé fausse d’une clé correcte et d’un chemin manquant.

Gardez une identité par appareil quand le déploiement le permet, afin qu’une unité perdue puisse être révoquée seule au lieu d’obliger tout le monde à régénérer des clés. Cette décision est aussi ce qui rend la procédure de remplacement ci-dessous sûre à exécuter.

Remplacer une clé sans interruption

Générez le remplacement sur l’appareil, ajoutez la nouvelle clé publique comme pair supplémentaire, confirmez qu’elle porte du trafic, et seulement ensuite retirez l’ancienne. Procéder dans cet ordre signifie que le tunnel n’a jamais de moment sans identité valide, et le retour arrière consiste simplement à supprimer l’entrée que vous venez d’ajouter.

Gardez le fichier privé remplacé jusqu’à ce que le nouveau pair soit confirmé, puis détruisez-le volontairement. Le démarrage rapide WireGuard est la référence pour les commandes elles-mêmes, et il est assez court pour être lu en entier avant de commencer.