WireGuard-kulcspár létrehozása helyben: parancsok és óvatosság

Két parancs hoz létre egy WireGuard-kulcspárt, és mindkettő a szabványos eszközökkel érkezik, így ehhez a feladathoz nem kell olyan webhely, amely felajánlja, hogy kulcsot készít Önnek. Ami elromlik, az soha nem a görbe aritmetikája; azok az engedélybitek, a hely, ahová a fájl kerül, és az, amit utána a másik végnek küldenek. Az alábbi sorrend üres könyvtárban kezdődik és egy forgalmat hordozó partnernél végződik. Olvassa el egyszer futtatás előtt, mert az első sor csak akkor számít, ha a következő ugyanabban a héjban fut.

A pár létrehozása egyetlen héjban

A dokumentált munkafolyamat korlátozza a fájlok létrehozását, mielőtt a privát érték létezne, majd abból származtatja a nyilvános értéket. Mindhárom sor egyetlen héjmunkamenetbe tartozik:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey egy 32 bájtos Curve25519 privát kulcsot ír base64-ben; a wg pubkey beolvassa és származtatja a hozzá tartozó nyilvános kulcsot, a tee pedig elmenti a privát értéket, miközben továbbadja a csövön. Ez a sorrend az oka annak, hogy az engedélysort előre kell tenni, és annak, hogy a csővezeték második terminálba illesztése csendben elveszíti. A fájlnevek szemléltetők, és az a fontos, hogy mindkét fájl olyan helyre kerüljön, amelyet a birtokló eszköz ellenőriz. Ha egy privát fájl már létezik alapértelmezett engedélyekkel, a chmod 600 privatekey kijavítja az aktuális fájlt, és nem tesz semmit a korábban készült másolatokkal.

Tartsa a privát felét egy eszközön

A privát érték ahhoz a géphez tartozik, amely az identitást birtokolni fogja, olyan könyvtárban, amelyet az a gép véd, és amelyet a biztonsági mentései hitelesítő adatként kezelnek. Nem való megosztott mappába, önmagának küldött üzenetbe vagy támogatási jegyhez csatolt részletbe, a beágyazott másolat pedig a konfigurációs fájlt pontosan olyan érzékennyé teszi, mint a kulcs. Egy három helyen élt kulcsról később nem lehet végiggondolni, és ez a gyakorlati oka annak, hogy egy helyen tartsa.

Egy kivont fájl szándékos megsemmisítése ugyanannak a szokásnak a része. Letöltési mappában hagyni, amíg valaki észre nem veszi, nem az.

Mire van szüksége a partner üzemeltetőjének Öntől

A másik félnek a nyilvános értékre és az üzemeltetője által választott címelrendezésre van szüksége, semmi másra. Küldje el azt a nyilvános karakterláncot azon a csatornán, amelyet az üzemeltető vár, majd erősítse meg, melyik partnerbejegyzéshez csatolták, mielőtt bárki tesztelné, mert a rossz szakaszban lévő helyes kulcs olyan módon hibázik, amely kulcsproblémának látszik. Egyetlen, nem tördelt sorként küldje, mert a két sorra tört kulcs panasz nélkül beillesztődik a konfigurációs fájlba, és utána soha nem egyezik.

A kulcs létrehozása önmagában semmit nem engedélyez. A partnert be kell állítani, hogy elfogadja, és a beállítás lépése ahhoz tartozik, aki azt a véget üzemelteti.

Tesztelje a párt valódi cserével

A kulcspár egy alagút egyik végét azonosítja; nem hoz létre útvonalat, feloldóbejegyzést, továbbítási szabályt és tűzfalengedélyt. Miután a partner elkészült, a cserét tesztelje, ne a fájlt: a wg show kimenetében megjelenő kézfogást, az alagúton belül válaszoló címet és egy alkalmazáskérést, amely az útvonaltól függ. Ez a hármas választja el a rossz kulcsot a helyes kulcstól és a hiányzó úttól.

Tartson eszközönként egy identitást, amikor az üzembe helyezés engedi, hogy egy elveszett egység önállóan visszavonható legyen ahelyett, hogy mindenkit új kulcs generálására kényszerítene. Ez a döntés teszi biztonságossá az alábbi csereeljárás futtatását.

Kulcs cseréje hézag nélkül

Hozza létre a cserét az eszközön, adja hozzá az új nyilvános kulcsot további partnerként, erősítse meg, hogy forgalmat hordoz, és csak ezután távolítsa el a régit. Az ebben a sorrendben végzett munka azt jelenti, hogy az alagútnak soha nincs érvényes identitás nélküli pillanata, a visszaállás pedig egyszerűen az imént hozzáadott bejegyzés törlése.

Tartsa meg a lecserélt privát fájlt, amíg az új partner megerősítést nem nyer, majd szándékosan semmisítse meg. A WireGuard gyorsindító maguknak a parancsoknak a referenciája, és elég rövid ahhoz, hogy kezdés előtt teljes egészében elolvassa.