Jo hawwe de priveesleutel net nedich om in VPN te debuggen

It fersyk klinkt ridlik: stjoer de konfiguraasje sadat de stipe sjocht wat der mis is. Sa komme priveesleutels ek yn ticketsystemen en petearlogs telâne. In konfiguraasje is in identiteit, gjin diagnoaze, en wa't jo tunnel debugt, hat hast nea de helte nedich dy't bewiist wa't jo binne. Statusútfier beantwurdet deselde fragen sûnder dat risiko.

De myte is dat in konfiguraasje it iennichste folsleine byld is. It is it minst feilige folsleine byld.

De myte: de stipe hat de konfiguraasje nedich

De stipe hat de flertekst, de ferzjes fan klant en tsjinner, it einpunt, de tastân fan 'e hânskudding en de folchoarder fan barrens nedich. Dat alles is status. In konfiguraasje foeget sleutels ta, en sleutels binne wat in oar jo wêze lit. In konfiguraasje oerjaan om in routingprobleem op te lossen is as jo paspoart opstjoere om in fertrage flecht te ferklearjen. It fersyk komt meast fan immen dy't jo netwurk nea sjoen hat, en freget it ding dat it maklikst ta te foegjen is.

Stjoer de lytste útfier dy't de fraach beantwurdet, net de grutste dy't jo fine kinne.

Wat status eins sjen lit

De wg show fan WireGuard prints ynterfaces, pearen, tastiene IP's, einpunten, de lêste hânskudding en oerdrachtstellers, en it prints de priveesleutel net. De status- en logútfier fan OpenVPN jout ferbiningstastân en flaters sûnder de ynbêde sleutelblokken. Beide binne genôch om te sjen oft in hânskudding foltôget, oft tellers bewege en hokker pear brûkt wurdt, wat de wg-hantlieding as de statuswerjefte dokumintearret.

As in helper om 'e konfiguraasje freget foardat er om dy útfier freget, freegje dan wat de konfiguraasje sjen litte soe dat status net docht.

Wêr't geheimen yn elk formaat skûlje

WireGuard-konfiguraasjebestannen befetsje PrivateKey-regels, en iepenbiere pearel-sleutels plus einpuntmetadaten identifisearje noch hieltyd sûnder har. OpenVPN-profylen kinne <key>- en <tls-crypt>-blokken ynbêde of nei aparte bestannen wize dy't mei it profyl reizgje. It stipe-argyf fan in klant kin folle mear befetsje as it logfinster sjen lit, ynklusyf cachede profylen dy't jo fergetten binne dat se bestiene. Skermôfbyldings binne de oare gewoane lek, om't in terminalfinster mear sjen lit as it kommando dat jo diele woene.

Lês de eksportdokumintaasje en iepenje dêrnei it bestân. In útfier mei it label diagnoaze is net needsaaklik fan alles öntdien.

Redigearje, stjoer dan in neisjoene kopy

Hâld it orizjineel op in beskerme plak en stjoer in neisjoene kopy. Ferfange einpunten en iepenbiere sleutels troch stabile plakferfangers as de echte wearden net nedich binne, en ferwiderje blokken mei priveesleutels folslein yn stee fan se foar in part te ferbergjen. It foar in part ferbergjen fan in base64-blob is noch hieltyd in lekte sleutel. Lês it bestân noch ien kear foardat it fuortgiet, om't argiven faaks in twadde kopy fan itselde profyl drage.

Brûk in ferifiearre kanaal, en kontrolearje wa't it ôntfangt foardat jo wat taheakje.

As in sleutel al lek is

It berjocht wiskje helpt de kopyen net werom dy't oaren al hawwe. Rotaasje de identiteit fia it yntrekkings- en ferfangingsproses fan 'e operator, en behannelje de âlde sleutel as kompromittearre fan it momint dat er ferstjoerd waard. De measte operators ferfange in klantidentiteit gau neidat de bleatstelling rapportearre is, en it rapport is it part dat minsken útstelle.

Deselde regel jildt foar in sleutel dy't yn in ticket, in skermôfbylding of in petearried plakt is. Rotaasje is de oplossing; wiskjen is hûshâlding.