પ્રથમ બૂટ: WireGuard ઉપકરણોના ફ્લીટ માટે નોંધણી

બોર્ડ સામાન્ય ઇમેજથી બૂટ થાય છે, DHCP લીઝ મેળવે છે, અને કોઈએ ઉપકરણને સ્પર્શ કર્યા પહેલાં જ પ્રોવિઝનિંગ સ્ક્રિપ્ટ ચાલે છે. એ સ્ક્રિપ્ટમાં ક્યાંક તેને એવી WireGuard ઓળખ મેળવવી પડે છે જે આ બોર્ડની છે અને બીજા કોઈની નહીં, એ ઓળખને અધિકૃત કરાવવી પડે છે, અને એવી પ્રોફાઇલ લખવી પડે છે જે ગેટવે સ્વીકારશે. ઇમેજ ક્લાયન્ટ સૉફ્ટવેર, સમીક્ષિત ટેમ્પલેટ અને ગેટવેની જાહેર કી વહન કરી શકે છે. જે તેને ક્યારેય વહન કરવું ન જોઈએ તે છે એક ખાનગી કી જે આખું ફ્લીટ વહેંચે છે, કારણ કે તે એક ચોરાયેલા બોર્ડને આખા ફ્લીટ માટેની ઘટના બનાવી દે છે. નીચેનો ક્રમ ઓળખને સ્થાનિક અને અધિકૃતીકરણને સ્પષ્ટ રાખે છે.

ઇમેજ શું વહન કરે છે અને શું નહીં

પેકેજ, પ્લેસહોલ્ડર સાથેનું ટેમ્પલેટ, ગેટવેની જાહેર કી અને નોંધણી ક્લાયન્ટ મોકલો. ટેમ્પલેટ એક આકાર છે, ગુપ્ત નહીં: તે પ્રોવિઝનિંગ વપરાશકર્તા માટે વાંચી શકાય તેવું હોવું જોઈએ અને તેમાં કોઈ કી સામગ્રી ન હોવી જોઈએ.

ખાનગી કી પ્રથમ બૂટ પર ઉપકરણ પર જ બનાવાય છે અને તેને ક્યારેય છોડતી નથી. ફક્ત સાર્વજનિક અડધો ભાગ મુસાફરી કરે છે, એક નોંધણી વિનંતીની અંદર જે ઉપકરણ પોતે કોણ છે તે અંગેના તેના પોતાના દાવા સિવાય બીજા કંઈક દ્વારા અધિકૃત થાય છે. એ જ ભેદ છે જે ચોરાયેલા બોર્ડને આખા ફ્લીટની સમસ્યા બનતા રોકે છે. અને એ જ ભાગ છે જે મોટાભાગની પ્રથમ-બૂટ સ્ક્રિપ્ટો ખોટી રીતે કરે છે.

પગલું 1: કી સ્થાનિક રીતે બનાવો

અંતર્ગત નેટવર્ક કનેક્શન મંજૂર થઈને કાર્યરત થયા પછી સુરક્ષિત ડિરેક્ટરીમાં બનાવટ ચલાવો. સબશેલ umask ફેરફારને આ ક્રિયા પૂરતો સ્થાનિક રાખે છે, અને set -C અસ્તિત્વમાંની ફાઇલ પર લખવાનો ઇનકાર કરે છે:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard ઝડપી શરૂઆત એ કી-બનાવટનો સંબંધ દસ્તાવેજ કરે છે જેના પર આ બે આદેશો આધાર રાખે છે. જો બનાવટ વચ્ચે અટકે, તો ઉપકરણને નોંધણી વગર છોડી દો અને વર્કફ્લોને ફાઇલો મેળવવા દો. સ્ક્રિપ્ટ શરૂઆતથી સ્વચ્છ ચાલે તે માટે અસ્તિત્વમાંની ઓળખ કાઢી ન નાખો.

ફરી પ્રયાસો દરમિયાન બાકી કી સાચવો. દરેક કામચલાઉ નેટવર્ક નિષ્ફળતા પછી ઓળખ ફરી બનાવવી એ જ રીત છે જેના કારણે ફ્લીટમાં એવા અનાથ peer રહી જાય છે જેને કોઈ ઉપકરણ સાથે મેળવી શકતું નથી.

પગલું 2: ઉપકરણ રેકોર્ડને અધિકૃત કરો

ધારો કે ઇન્વેન્ટરી આ બોર્ડને device-042 કહે છે અને તેને 10.90.0.42/32 ફાળવે છે. નોંધણી સેવાએ ચકાસવું પડે છે કે આ વિનંતીકર્તાને એ રેકોર્ડનો હક છે. ફોર્મમાં લખાયેલો સીરિયલ નંબર પુરાવો નથી, કારણ કે સીરિયલ નંબર બોક્સની બહાર છપાયેલા હોય છે.

દરેક ઉપકરણ માટેનું બૂટસ્ટ્રેપ ક્રેડેન્શિયલ, ઓપરેટરની મંજૂરી, અથવા હાર્ડવેર-આધારિત એટેસ્ટેશન દાવો સ્થાપિત કરી શકે છે. વિનંતીની અખંડિતતા અને પ્રતિસાદની પ્રામાણિકતા સુરક્ષિત કરો, અને એક વહેંચાયેલા VPN રહસ્યને એક વહેંચાયેલા ફેક્ટરી ક્રેડેન્શિયલથી બદલશો નહીં.

નોંધાયેલો રેકોર્ડ ઉપકરણ, તેની જાહેર કી, તેને ફાળવેલું સરનામું અને તેની મંજૂર વ્યવસ્થાપન ભૂમિકાને બાંધે છે. WireGuard પોતે કોઈ નોંધણી API વ્યાખ્યાયિત કરતું નથી, તેથી એ સેવા એવી વસ્તુ છે જે તમે સભાનપણે બનાવો છો અને ચલાવો છો.

પગલું 3: બે મેળ ખાતી કન્ફિગરેશન લખો

ઉપકરણને એવી પ્રોફાઇલ જોઈએ જે વ્યવસ્થાપન પ્રીફિક્સને ટનલમાં રૂટ કરે, અને ગેટવેને એવી peer એન્ટ્રી જોઈએ જે ફક્ત આ ઉપકરણના પોતાના સ્રોત સરનામાને મંજૂરી આપે. ગેટવે 10.90.0.1 પર અને વ્યવસ્થાપન નેટવર્ક 10.60.0.0/16 હોય ત્યારે ઉપકરણની બાજુ આવી દેખાય છે:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

કૌંસની અંદરની કિંમતો પ્લેસહોલ્ડર છે, કી નહીં. keepalive ત્યારે મહત્વનું છે જ્યારે બોર્ડ NAT પાછળ હોય અને પહોંચવા યોગ્ય રહેવું પડે; તે દરેક જગ્યાએ જરૂરી નથી, અને ટેવપ્રમાણે ઉમેરવાથી રેડિયો કારણ વગર જાગતો રહે છે.

ગેટવે પર, peer એન્ટ્રી ઇરાદાપૂર્વક સાંકડી છે:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

ઉપકરણની ગંતવ્ય સૂચિ ગેટવે peer પર નકલ કરશો નહીં. ઉપકરણ પર એ સૂચિ કહે છે કે ટનલમાં શું રૂટ કરવું; ગેટવે પર તે કહે છે કે આ peer કયા સ્રોત સરનામાં વાપરી શકે છે, અને એ અલગ વિધાનો છે.

ફોરવર્ડિંગ, ફાયરવોલ નિયમો અને વ્યવસ્થાપન નેટવર્ક તરફનો પરત માર્ગ હજી પણ મંજૂર ઍક્સેસની પરવાનગી આપવો જોઈએ. નોંધાયેલ peer તેની પાછળની દરેક એપ્લિકેશન માટે પરવાનગી નથી.

પગલું 4: નોંધણીને જીવનચક્ર સ્થિતિ તરીકે નિશ્ચિત કરો

દરેક કન્ફિગરેશનનો માલિક જે હોય તેના દ્વારા ગેટવે રેકોર્ડ અને ઉપકરણ પ્રોફાઇલ લાગુ કરો, પછી ઇચ્છિત ઓળખ અને સરનામું સ્વીકારાય ત્યારે જ નોંધણીને પૂર્ણ ચિહ્નિત કરો. ફરી પ્રયાસોએ બીજું peer કે બીજું સરનામું ફાળવવાને બદલે એ જ રેકોર્ડ મેળવવો જોઈએ.

અટકેલા પ્રોવિઝનિંગ માટે પુનઃપ્રાપ્તિ માર્ગ રાખો, જેમાં એ કિસ્સો પણ સામેલ છે જ્યાં ગેટવેએ કી સ્વીકારી પણ ઉપકરણે ક્યારેય તેની પ્રોફાઇલ લખી નહીં.

જ્યારે બોર્ડ બદલાય અથવા નિવૃત્ત થાય, ત્યારે તેની જાહેર કી અને તેનું અધિકૃતીકરણ સાથે જ દૂર કરો. નવી કી એ સભાન પુનઃનોંધણી ઘટના છે, ઇમેજ ફરી લખવાની આડઅસર નહીં. કાર્યક્રમ: સ્થાનિક રીતે બનાવો, ઇન્વેન્ટરી સામે અધિકૃત કરો, બંને બાજુ લખો, સ્થિતિ નિશ્ચિત કરો, પછી ટનલ દ્વારા એક વ્યવસ્થાપન વિનંતી ચકાસો.