Farkon taya: yin rijista don gungu na na'urorin WireGuard

Hoto ɗaya, maɓalli ɗaya ga kowane allo, da matakin izini wanda ba ya amincewa da iƙirarin na'urar kanta. Matakai huɗu daga taya zuwa peer da aka tabbatar.

Allon yana taya daga hoton gama gari, yana samun lasisin DHCP, kuma rubutun shirye-shirye yana gudana kafin wani ya taɓa na'urar. Wani wuri a cikin wannan rubutun dole ne ya sami asalin WireGuard wanda ya danganta da wannan allo kuma ba wani ba, ya sa a ba da izini ga wannan asalin, kuma ya rubuta bayanin da ƙofar za ta karɓa. Hoton zai iya ɗaukar manhajar abokin ciniki, samfurin da aka duba da maɓallin jama'a na ƙofar. Abin da bai kamata ya ɗauka ba shi ne maɓalli ɗaya na sirri da dukan gungu ke rabawa, domin hakan yana mai da sata ɗaya allo ya zama babban lamari ga dukan gungu. Tsarin da ke ƙasa yana riƙe asalin a gida da izini a bayyane.

Abin da hoton ke ɗauka, da abin da ba ya ɗauka

Aika fakitin, samfurin da ke da wuraren ajiya, maɓallin jama'a na ƙofar da abokin ciniki na rijista. Samfurin siffa ne, ba sirri ba: ya kamata ya kasance mai iya karantawa ga mai amfani da shirye-shiryen kuma ba ya ƙunshe da kayan maɓalli.

Ana ƙirƙirar maɓallin sirri a kan na'urar a farkon taya kuma ba ya taɓa barin ta. Rabin jama'a ne kawai ke tafiya, a cikin buƙatar rijista da wani abu dabam da iƙirarin na'urar kanta game da wanda yake ke ba da izini. Wannan bambanci ne ke hana sata allo ya zama matsala ga dukan gungu. Kuma shi ne ɓangaren da yawancin rubutun farkon taya ke yi kuskure.

Mataki 1: ƙirƙirar maɓallin a gida

Gudanar da ƙirƙirar a cikin babban fayil mai kariya bayan an amince da haɗin cibiyar sadarwa kuma yana aiki. Ƙaramin harsashi yana riƙe canjin umask a gida don wannan aiki, kuma set -C ya ƙi share fayil da ya wanzu:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

Saurin farawa na WireGuard yana rubuta dangantakar ƙirƙirar maɓalli da waɗannan umarni biyu suka dogara da ita. Idan an katse ƙirƙirar, bar na'urar ba tare da rijista ba kuma bar aikin ya daidaita fayilolin. Kada ka goge asalin da ya wanzu don kawai rubutun ya gudana da kyau daga farko.

Ajiye maɓallin da ke jira a duk lokacin sake gwadawa. Sake ƙirƙirar asali bayan kowace gazawar cibiyar sadarwa ta wucin gadi ita ce hanyar da gungu ke ƙarewa da marayu peer waɗanda babu wanda zai iya haɗa su da na'ura.

Mataki 2: ba da izini ga rikodin na'ura

A ce kayan ajiya yana kiran wannan allon device-042 kuma yana ba shi 10.90.0.42/32. Sabis ɗin rijista dole ne ya tabbatar cewa wannan mai nema yana da haƙƙin wannan rikodin. Lambar serial da aka buga a fom ba hujja ba ce, domin ana buga lambobin serial a wajen akwatin.

Takardar shaidar farko ta kowace na'ura, amincewar ma'aikaci, ko tabbaci mai goyan bayan kayan aiki na iya tabbatar da iƙirarin. Kare amincin buƙatar da sahihancin amsar, kuma kada ka maye gurbin sirrin VPN guda ɗaya da takardar shaidar masana'anta guda ɗaya.

Rikodin da aka yi rijista yana ɗaure na'urar, maɓallinta na jama'a, adireshin da aka ba ta da rawar gudanarwa da aka yarda da ita. WireGuard kanta ba ya bayyana wata API ta rijista, don haka wannan sabis abu ne da kake ginawa kuma kana tafiyar da shi da gangan.

Mataki 3: rubuta saitin biyu masu dacewa

Na'urar tana buƙatar bayanin da zai tura prefiksin gudanarwa cikin rami, kuma ƙofar tana buƙatar shigarwar peer wadda za ta yarda da adireshin tushen wannan na'urar kawai. Da ƙofar a 10.90.0.1 da cibiyar sadarwar gudanarwa ta 10.60.0.0/16, gefen na'urar yana kama da haka:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

Ƙimar da ke cikin baka wuraren ajiya ne, ba maɓallai ba. keepalive yana da muhimmanci sa'ad da allon yake bayan NAT kuma dole ya kasance ana iya isa gare shi; ba a buƙatarsa a ko'ina, kuma ƙara shi bisa al'ada yana riƙe rediyo a faɗake ba tare da dalili ba.

A kan ƙofar, shigarwar peer tana da ƙunci da gangan:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

Kada ka kwafi jerin makoma na na'urar zuwa peer na ƙofar. A kan na'urar wannan jerin yana faɗin abin da za a tura cikin rami; a kan ƙofar yana faɗin waɗanne adiresoshin tushe wannan peer zai iya amfani da su, kuma waɗannan maganganu ne daban-daban.

Tura, dokokin katangar wuta da hanyar dawowa zuwa cibiyar sadarwar gudanarwa dole ne har yanzu su yarda da damar da aka amince da ita. Rijistataccen peer ba izini ba ne ga kowace manhaja da ke bayansa.

Mataki 4: tabbatar da rijista a matsayin yanayin rayuwa

Yi amfani da rikodin ƙofar da bayanin na'urar ta hanyar wanda ya mallaki kowane saiti, sannan yi alamar rijista ta cika ne kawai sa'ad da aka karɓi asalin da adireshin da aka nufa. Sake gwadawa ya kamata ya daidaita wannan rikodin maimakon ba da wani peer na biyu ko wani adireshi na biyu.

Riƙe hanyar dawowa don shirye-shiryen da aka katse, gami da yanayin da ƙofar ta karɓi maɓallin kuma na'urar ba ta taɓa rubuta bayaninta ba.

Sa'ad da aka maye gurbin allo ko aka fitar da shi aiki, cire maɓallinsa na jama'a da izininsa tare. Sabon maɓalli babban taron sake rijista ne da gangan, ba sakamakon sake rubuta hoto ba. Tsarin aiki: ƙirƙira a gida, ba da izini bisa ga kayan ajiya, rubuta ɓangarorin biyu, tabbatar da yanayin, sannan gwada buƙatar gudanarwa ɗaya ta cikin rami.

Labarai masu alaƙa