Wêrom serverkaaien en brûkersbewizen aparte eigners nedich hawwe

De kaai dy't bewiist dat dyn gateway himsels is en it bewiis dat in persoan meidwaan mei, binne beide geheimen, en dêr einiget de oerienkomst. Ien identifisearret in tsjinst foar elke klant; de oare identifisearret ien brûker foar dy tsjinst. Se minge besparret in stap by it ynstellen en kostet in middei by in ynsidint, want it werstel foar elk is net deselde operaasje. De skieding is ferfeelsum om op te setten en memorabel om oer te slaan.

Twa geheimen, twa ferskillende eigners

De gateway hâldt in priveekaal of sertifikaat wêrfan de iennige taak is syn identiteit by de hânskudding te bewizen. Klanten hawwe it byhearrende publike materiaal nedich om it te ferifiearjen, en se hawwe nea de privee helte nedich. Krekt dy asymmetry makket serverferifikaasje mooglik sûnder elke brûker it fermogen te jaan de server nei te beartsen.

Brûkersmateriaal giet de oare kant út. In priveekaal fan in klant, in kliïntsertifikaat of in wachtwurd lit sjen dat oan krekt dizze persoan of dit apparaat tagong jûn is. It wurdt ferwachte dat it ferspraat, tusken apparaten kopiearre en úteinlik yntôge wurdt.

WireGuard makket de skieding dúdlik, want elke dielnimmer hat in kaaipear: de priveekaal fan de server bliuwt op de server, en in konfiguraasjebestân datst oan in brûker jout befettet syn eigen priveekaal plus de publike kaai fan de server. In profyl dat de priveekaal fan de server befettet is gjin flugge wei, it is in kompromis dy't op in bestânsdieling wachtet.

Trije fragen dy't de skieding beslisse

Freegje wa't it geheim lêze moatte kin, wat in bleatstelling in oanfaller dwaan litte soe en oft de oplossing ien yntrekking of in weropbou fan de tsjinst is.

As in brûker it lêze kin en it bewiist de identiteit fan de gateway, dan is it antwurd op de twadde fraach dat de oanfaller dyn server foar elke klant neibeartse kin — it slimste resultaat, want klanten binne ûntwurpen om dy identiteit te fertrouwen. As it mar ien brûker bewiist, jout de bleatstelling dy brûker tagong ta ien peer, en yntrekking is in routine-operaasje. As it in kaai fan in sertifikaasje-autoriteit is, is bleatstelling slimmer as beide, om't de oanfaller identiteiten meitsje kin dy't elk einpunt fertrout.

Dy trije antwurden leverje de bewarregel: de CA-kaai wennet offline of yn in koffer, de gateway-kaai wennet op de gateway, en brûkerskaaien wenje by brûkers. Eltse yndieling dy't alle trije yn ien map set foar gemak hat in beslissing yn in ûngelok feroare.

Wat in klant echt nedich hat

In klant hat it publike sertifikaat of de publike peerkaai nedich, it CA-materiaal of de fingerôfdruk dy't it fertrouwe moat, syn eigen priveekaal en de details fan it einpunt. Dy list befettet neat dat by de privee identiteit fan de gateway heart.

Dokumintaasje is wêr't dit lekket. In hânlieding dy't seit kopiearje de servermap en wiskje watst net nedich hast, hat al it ferkearde model leard, want it bestân dat nei de wiskstap oerbliuwt wurdt selden troch immen kontrolearre.

Yntrek ien brûker sûnder de gateway oan te reitsjen

Om't brûkersidentiteiten apart útjûn wurde, kinne se apart weromlutsen wurde. In sertifikaatbasearre ynset yntrekt it kliïntsertifikaat en publisearret in bywurke yntrekkingslist; in WireGuard-ynset ferwideret de peer-ynskriuwing út 'e serverkonfiguraasje. Gjin fan dy operaasjes feroaret de eigen kaai fan de gateway.

Hâld it útjaanregister by, oars witst net hokker identiteit weromlutsen wurde moat. In sprekblad is genôch, mits it de persoan, it apparaat, it searjenûmer of de publike kaai en de datum neamd, en mits immen it byhâldt neidat de persoan dy't it boud hat fuortgiet.

De kommando's hjirûnder ûndersykje in kliïntsertifikaat en yntrekke it dan fia in autoriteit yn OpenSSL-styl, dat is de stream dy't easy-rsa ynpakket:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Publisearje de nije list wêr't klanten it kontrolearje, oars is de yntrekking in notysje yn in bestân dat neat feroaret. As dyn gateway kliïntsertifikaten akseptearret sûnder in yntrekkingslist te rieplachtsjen, sis dat dan eksplisyt ynstee fan te suggerearjen dat yntrekking wurket.

Hâld reservekopyen like apart as de geheimen

In weropbou-argyf befettet fan rjochtswegen de gateway-kaai en it CA-materiaal, want sûnder dy kin in werstel de tsjinst net werjaan. In klantynstelpakkette mei dat net, en de beide meie net byinoar bewarre wurde. Labelje elk argyf nei wa't it hâlde mei, net nei de datum dat it makke is. Dat label is wat in wurch administrateur om twa oere nachts lêst.

Dy skieding bepaalt ek wa't elk fan beide ophelje mei. De gateway beheare, brûkersidentiteiten útjaan en reservekopyen lêze binne trije ferskillende foegen, en immen dy't ien nedich hat, hat net automatysk de oaren nedich. Skriuw dy tastimmingen op en kontrolearje se dan tsjin wat dyn bewarplak wier tastiet, want map-erfenis jout stilwei mear as it belied docht.