Xere un par de claves WireGuard en local: ordes e coidado

Dúas ordes xeran un par de claves WireGuard e ambas veñen coas ferramentas estándar, así que esta tarefa non necesita ningún sitio web que se ofreza a crear unha clave por vostede. O que falla nunca é a aritmética da curva; son os bits de permisos, o lugar onde cae o ficheiro e o que despois se envía ao outro extremo. A secuencia de abaixo comeza nun directorio baleiro e remata nun par remoto que transporta tráfico. Léaa unha vez antes de executala, porque a primeira liña só importa se a seguinte se executa no mesmo intérprete.

Xerar o par nun só intérprete

O fluxo de traballo documentado restrinxe a creación de ficheiros antes de que exista o valor privado e despois deriva del o valor público. As tres liñas van xuntas nunha soa sesión de intérprete:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey escribe unha clave privada Curve25519 de 32 bytes en base64; wg pubkey léaa e deriva a clave pública correspondente, e tee garda o valor privado mentres o pasa cara abaixo pola tubaxe. Ese orde é a razón de que a liña de permisos vaia primeiro e de que pegar a tubaxe nun segundo terminal a perda en silencio. Os nomes dos ficheiros son ilustrativos, e o que importa é que ambos os ficheiros caian nun lugar que controle o dispositivo propietario. Se xa existe un ficheiro privado con permisos predeterminados, chmod 600 privatekey arranxa o ficheiro actual e non fai nada coas copias feitas antes.

Manter a metade privada nun só dispositivo

O valor privado pertence á máquina que posuirá a identidade, nun directorio que esa máquina protexe e que as súas copias de seguridade tratan como unha credencial. Non pertence a un cartafol compartido, nin a unha mensaxe a un mesmo, nin a un fragmento adxunto a un tícket de soporte, e unha copia incorporada fai que o ficheiro de configuración sexa exactamente tan sensible como a clave. Unha clave que viviu en tres lugares non se pode razoar despois, e esa é a razón práctica para tela nun só.

Destruír deliberadamente un ficheiro retirado forma parte do mesmo hábito. Deixalo nun cartafol de descargas ata que alguén o note, non.

Que precisa de vostede o operador do par remoto

O outro lado precisa o valor público e a disposición de enderezos que escolleu o seu operador, nada máis. Envíe esa cadea pública pola canle que o operador espere e despois confirme a que entrada de par remoto se anexou antes de que ninguén a probe, porque unha clave correcta na sección equivocada falla dun xeito que parece un problema de clave. Envíea como unha soa liña sen partir, porque unha clave partida en dúas liñas péganse no ficheiro de configuración sen queixa e despois nunca coincide.

Xerar unha clave non autoriza nada por si só. Cómpre configurar o par remoto para que a acepte, e o paso de configuración corresponde a quen xestiona ese extremo.

Probar o par cun intercambio real

Un par de claves identifica un extremo dun túnel; non crea ningunha ruta, ningunha entrada de resolución, ningunha regra de reenvío nin ningún permiso de cortafogos. Unha vez aprovisionado o par remoto, probe o intercambio en lugar do ficheiro: un handshake que aparece en wg show, un enderezo que responde dentro do túnel e unha solicitude de aplicación que depende da ruta. Ese trío separa unha clave equivocada dunha clave correcta e dun camiño que falta.

Manteña unha identidade por dispositivo cando o despregamento o permita, para que unha unidade perdida poida revogarse soa en lugar de obrigar a todos a rexerar claves. Esa decisión é tamén o que fai seguro executar o procedemento de substitución de abaixo.

Substituír unha clave sen oco

Xere o substituto no dispositivo, engada a nova clave pública como par remoto adicional, confirme que transporta tráfico e só entón retire a vella. Facelo nesa orde significa que o túnel nunca ten un momento sen identidade válida, e a reversión é simplemente borrar a entrada que acaba de engadir.

Manteña o ficheiro privado substituído ata que se confirme o novo par remoto e despois destrúao a propósito. A guía de inicio rápido de WireGuard é a referencia para as ordes mesmas, e é abondo curta para lela enteira antes de comezar.