An chéad tosú: clárú ar fhlít de ghléasanna WireGuard

Tosaíonn an bord ón íomhá choiteann, faigheann sé léas DHCP, agus ritheann script soláthair sula mbaineann éinne leis an ngléas. Áit éigin sa script sin caithfidh sé féiniúlacht WireGuard a fháil a bhaineann leis an mbord seo agus le haon cheann eile, an fhéiniúlacht sin a chur ar údarú, agus próifíl a scríobh a nglacfaidh an geata léi. Is féidir leis an íomhá na bogearraí cliaint, teimpléad athbhreithnithe agus eochair phoiblí an gheata a iompar. Rud nach gceart di a iompar riamh is ea eochair phríobháideach amháin a roinneann an fhlít ar fad, mar sin déantar eachtra de bhord goidte amháin don fhlít ar fad. Coinníonn an t-ordú thíos an fhéiniúlacht áitiúil agus an t-údarú follasach.

Cad a iompraíonn an íomhá, agus cad nach n-iompraíonn

Seol an pacáiste, an teimpléad le sealbhóirí áite, eochair phoiblí an gheata agus an cliaint chláraithe. Is foirm é an teimpléad, ní rún: ba cheart go mbeadh sé inléite ag an úsáideoir soláthair agus gan aon ábhar eochrach a bheith ann.

Gintear an eochair phríobháideach ar an ngléas ar an gcéad tosú agus ní fhágann sí riamh é. Ní thaistealaíonn ach an leath phoiblí, laistigh d'iarratas cláraithe a údaraítear le rud éigin seachas éileamh an ghléis féin faoi cé hé. Is é an t-idirdhealú sin a choisceann bord goidte a bheith ina fhadhb don fhlít ar fad. Agus is é sin an chuid a ndéanann formhór na scripteanna céad tosaithe mícheart.

Céim 1: an eochair a ghiniúint go háitiúil

Rith an ghiniúint i bhfillteán cosanta tar éis an nasc líonra bunúsach a bheith ceadaithe agus ag obair. Coinníonn an foshell an t-athrú umask áitiúil don oibríocht seo, agus diúltaíonn set -C do chomhad atá ann cheana a fhorscríobh:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

Tús gasta WireGuard doiciméadaíonn sé an gaol giniúna eochrach a bhfuil an dá ordú seo ag brath air. Má chuirtear isteach ar an nginiúint, fág an gléas gan chlárú agus lig don sreabhadh oibre na comhaid a réiteach. Ná scrios féiniúlacht atá ann cheana díreach chun go ritheadh an script go glan ón tús.

Coinnigh an eochair atá ar feitheamh thar iarrachtaí nua. Is é athghiniúint féiniúlachta tar éis gach teipe líonra shealadaigh an bealach a gcríochnaíonn flít le peers dílleachta nach féidir le héinne a mheaitseáil le gléas.

Céim 2: taifead gléis a údarú

Cuir i gcás go dtugann an fhardal device-042 ar an mbord seo agus go dtugann sé 10.90.0.42/32 dó. Caithfidh an tseirbhís chláraithe a fhíorú go bhfuil an t-iarrthóir seo i dteideal an taifid sin. Ní cruthúnas é sraithuimhir a chlóscríobhtar i bhfoirm, mar clóbhuailtear sraithuimhreacha ar thaobh amuigh an bhosca.

Is féidir le dintiúr tosaithe in aghaidh an ghléis, le ceadú oibreora nó le fianaise a bhfuil tacaíocht crua-earraí aici an t-éileamh a bhunú. Cosain sláine an iarratais agus barántúlacht na freagartha, agus ná cuir dintiúr monarchan comhroinnte in ionad rún VPN comhroinnte amháin.

Ceanglaíonn an taifead cláraithe an gléas, a eochair phoiblí, an seoladh a shanntar dó agus a ról bainistíochta ceadaithe. Ní shainmhíníonn WireGuard féin aon API cláraithe, mar sin is rud é an tseirbhís sin a thógann tú agus a oibríonn tú go toiliúil.

Céim 3: dhá chumraíocht mheaitseálacha a scríobh

Teastaíonn próifíl ón ngléas a sheolann na réimíreanna bainistíochta isteach sa tollán, agus teastaíonn iontráil peer ón geata nach gceadaíonn ach seoladh foinse an ghléis seo féin. Le geata ag 10.90.0.1 agus líonra bainistíochta de 10.60.0.0/16, seo mar a fhéachann taobh an ghléis:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

Is sealbhóirí áite iad na luachanna idir lúibíní, ní eochracha. Tá tábhacht leis an keepalive nuair a shuíonn an bord taobh thiar de NAT agus nuair a chaithfidh sé fanacht inrochtana; níl sé ag teastáil i ngach áit, agus má chuirtear leis de nós coinníonn sé raidió ina dhúiseacht gan chúis.

Ar an geata, tá an iontráil peer cúng d'aon ghnó:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

Ná cóipeáil liosta cinn scríbe an ghléis chuig peer an gheata. Ar an ngléas deir an liosta sin cad a sheoltar isteach sa tollán; ar an geata deir sé cé na seoltaí foinse is féidir leis an peer seo a úsáid, agus is ráitis éagsúla iad sin.

Caithfidh an t-aistriú, rialacha an bhalla dóiteáin agus an bealach ar ais chuig an líonra bainistíochta an rochtain cheadaithe a cheadú fós. Ní cead é peer cláraithe do gach feidhmchlár taobh thiar de.

Céim 4: an clárú a dhearbhú mar staid saolré

Cuir taifead an gheata agus próifíl an ghléis i bhfeidhm tríd an té a shealbhaíonn gach cumraíocht, ansin marcáil an clárú críochnaithe ach amháin nuair a nglactar leis an bhféiniúlacht agus leis an seoladh beartaithe. Ba cheart d'iarrachtaí nua an taifead céanna sin a réiteach seachas peer nó seoladh eile a leithdháileadh.

Coinnigh bealach téarnaimh le haghaidh soláthair bhriste, lena n-áirítear an cás inar ghlac an geata leis an eochair agus nár scríobh an gléas a phróifíl riamh.

Nuair a dhéantar bord a athsholáthar nó a choimisiúnú amach, bain a eochair phoiblí agus a údarú le chéile. Is imeacht athchláraithe toiliúil é eochair nua, ní fo-iarmhairt athíomháithe. Ord na hoibre: giniúint go háitiúil, údarú i gcoinne an fhardail, an dá thaobh a scríobh, an staid a dhearbhú, ansin iarratas bainistíochta amháin a thástáil tríd an tollán.