Ստեղծեք WireGuard բանալիների զույգ տեղում՝ հրամաններ և զգուշություն

Երկու հրաման ստեղծում է WireGuard բանալիների զույգ, և երկուսն էլ գալիս են ստանդարտ գործիքների հետ, ուստի այս առաջադրանքը չի պահանջում կայք, որն առաջարկում է ձեզ համար բանալի ստեղծել։ Այն, ինչ փչանում է, երբեք կորի թվաբանությունը չէ, այլ թույլտվության բիթերը, ֆայլի վայրէջքի տեղը և այն, ինչ հետո ուղարկվում է մյուս ծայրին։ Ստորև հաջորդականությունը սկսվում է դատարկ պանակում և ավարտվում է գործընկերոջ մոտ, որը տանում է երթևեկություն։ Կարդացեք այն մեկ անգամ գործարկելուց առաջ, քանի որ առաջին տողը նշանակություն ունի միայն այն դեպքում, երբ հաջորդը գործարկվի նույն shell-ում։

Զույգի ստեղծումը մեկ shell-ում

Փաստաթղթավորված աշխատահոսքը սահմանափակում է ֆայլերի ստեղծումը մինչև մասնավոր արժեքի գոյությունը, ապա դրանից ածանցում է հանրային արժեքը։ Բոլոր երեք տողերը պատկանում են միասին մեկ shell նստաշրջանի։

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey գրում է 32 բայթ Curve25519 մասնավոր բանալի base64-ով, wg pubkey կարդում է այն և ածանցում համապատասխան հանրային բանալին, իսկ tee պահպանում է մասնավոր արժեքը՝ այն ուղարկելով խողովակով ներքև։ Այդ կարգն է պատճառը, որ թույլտվության տողը գալիս է առաջինը, և որ խողովակաշարը երկրորդ տերմինալում տեղադրելը լուռ կորցնում է այն։ Ֆայլերի անունները օրինակելի են, և կարևորն այն է, որ երկու ֆայլերն էլ վայրէջք կատարեն մի տեղ, որը վերահսկում է սեփականատեր սարքը։ Եթե մասնավոր ֆայլ արդեն գոյություն ունի լռելյայն թույլտվություններով, chmod 600 privatekey ուղղում է ընթացիկ ֆայլը և ոչինչ չի անում ավելի վաղ արված պատճենների հետ։

Պահեք մասնավոր կեսը մեկ սարքում

Մասնավոր արժեքը պատկանում է այն մեքենային, որը կտիրի ինքնությանը, մի պանակում, որը այդ մեքենան պաշտպանում է, և որը նրա պահուստները վերաբերվում են որպես հավատարմագիր։ Այն չի պատկանում համօգտագործվող պանակին, ձեզ ուղարկված հաղորդագրությանը կամ աջակցության տոմսին կցված հատվածին, և ներկառուցված պատճենը կոնֆիգուրացիայի ֆայլը դարձնում է ճիշտ այնքան զգայուն, որքան բանալին։ Երեք տեղում ապրած բանալու մասին հնարավոր չէ հետո դատել, և դա է այն մեկ տեղում պահելու գործնական պատճառը։

Հանգստի ուղարկված ֆայլի դիտավորյալ ոչնչացումը նույն սովորության մասն է։ Այն ներբեռնումների պանակում թողնելը, մինչև ինչ-որ մեկը նկատի, այդպես չէ։

Ինչ է ձեզնից պետք գործընկերոջ օպերատորին

Մյուս կողմին պետք է հանրային արժեքը և իր օպերատորի ընտրած հասցեների դասավորությունը, ուրիշ ոչինչ։ Ուղարկեք այդ հանրային տողը այն ալիքով, որն սպասում է օպերատորը, ապա հաստատեք, թե որ գործընկերոջ գրառմանն է այն կցվել, մինչև ինչ-որ մեկը կփորձարկի այն, քանի որ սխալ բաժնում ճիշտ բանալին ձախողվում է այնպես, ինչը նման է բանալու խնդրի։ Ուղարկեք այն որպես մեկ չծալված տող, քանի որ երկու տողի վրա կոտրված բանալին առանց բողոքի տեղադրվում է կոնֆիգուրացիայի ֆայլում և հետո երբեք չի համընկնում։

Բանալի ստեղծումն ինքնին ոչինչ չի լիազորում։ Գործընկերը պետք է կարգավորվի այն ընդունելու համար, և կարգավորման քայլը պատկանում է նրան, ով ղեկավարում է այդ ծայրը։

Փորձարկեք զույգը իրական փոխանակմամբ

Բանալիների զույգը նույնականացնում է թունելի մի ծայրը, այն չի ստեղծում ոչ մի երթուղի, լուծիչի գրառում, փոխանցման կանոն կամ firewall-ի թույլտվություն։ Գործընկերոջ պատրաստվելուց հետո փորձարկեք փոխանակումը, ոչ թե ֆայլը՝ ձեռքսեղմում, որը հայտնվում է wg show-ում, հասցե, որը պատասխանում է թունելի ներսում, և մեկ հավելվածի հարցում, որը կախված է երթուղուց։ Այդ եռյակը տարանջատում է սխալ բանալին ճիշտ բանալուց և բացակայող ուղուց։

Պահեք մեկ ինքնություն յուրաքանչյուր սարքի համար, երբ տեղակայումը դա թույլ է տալիս, որպեսզի կորցրած միավորը կարող է չեղարկվել ինքնուրույն՝ բոլորին նորից բանալի ստեղծել ստիպելու փոխարեն։ Այդ որոշումն է, որ ստորև ներկայացված փոխարինման ընթացակարգը դարձնում է անվտանգ գործարկելու համար։

Բանալու փոխարինում առանց բացվածքի

Ստեղծեք փոխարինողը սարքում, ավելացրեք նոր հանրային բանալին որպես լրացուցիչ գործընկեր, հաստատեք, որ այն տանում է երթևեկություն, և միայն այնուհետև հեռացրեք հինը։ Այդ հերթականությամբ անելը նշանակում է, որ թունելը երբեք չունի վավեր ինքնությունից զուրկ պահ, և հետադարձը պարզապես հենց նոր ավելացրած գրառումը ջնջելն է։

Պահեք փոխարինված մասնավոր ֆայլը, մինչև նոր գործընկերը հաստատվի, ապա դիտավորյալ ոչնչացրեք այն։ WireGuard-ի արագ մեկնարկը հրամանների համար է տեղեկատու, և այն բավական կարճ է, որպեսզի ամբողջությամբ կարդաք նախքան սկսելը։