Buat pasangan kunci WireGuard secara lokal: perintah dan kehati-hatian

Dua perintah membuat pasangan kunci WireGuard dan keduanya hadir bersama perkakas standar, jadi tugas ini tidak membutuhkan situs web yang menawarkan membuatkan kunci untuk Anda. Yang gagal bukanlah aritmetika kurva; yang gagal adalah bit izin, tempat berkas mendarat, dan apa yang kemudian dikirim ke ujung lain. Urutan di bawah dimulai di direktori kosong dan berakhir pada peer yang membawa lalu lintas. Bacalah sekali sebelum menjalankannya, karena baris pertama hanya berarti jika baris berikutnya berjalan di shell yang sama.

Membuat pasangan dalam satu shell

Alur kerja yang didokumentasikan membatasi pembuatan berkas sebelum nilai privat ada, lalu menurunkan nilai publik darinya. Ketiga baris itu menyatu dalam satu sesi shell:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey menulis kunci privat Curve25519 32 byte dalam base64; wg pubkey membacanya dan menurunkan kunci publik yang cocok, dan tee menyimpan nilai privat sambil meneruskannya ke bawah pipa. Urutan itulah sebabnya baris izin datang lebih dulu, dan sebabnya menempelkan pipa ke terminal kedua diam-diam menghilangkannya. Nama berkas bersifat ilustratif, dan yang penting adalah kedua berkas mendarat di tempat yang dikendalikan perangkat pemiliknya. Jika berkas privat sudah ada dengan izin bawaan, chmod 600 privatekey memperbaiki berkas saat ini dan tidak melakukan apa pun terhadap salinan yang dibuat sebelumnya.

Simpan separuh privat di satu perangkat

Nilai privat menjadi milik mesin yang akan memiliki identitas itu, di direktori yang dilindungi mesin tersebut dan yang diperlakukan cadangannya sebagai kredensial. Nilai itu tidak pantas berada di folder bersama, di pesan untuk diri sendiri, atau di cuplikan yang dilampirkan pada tiket dukungan, dan salinan yang tertanam membuat berkas konfigurasi sama sensitifnya dengan kunci. Kunci yang pernah hidup di tiga tempat tidak bisa ditelusuri kemudian, dan itulah alasan praktis menyimpannya di satu tempat.

Memusnahkan berkas yang sudah pensiun secara sengaja adalah bagian dari kebiasaan yang sama. Membiarkannya di folder unduhan sampai seseorang menyadarinya bukan.

Apa yang operator peer butuhkan dari Anda

Pihak lain membutuhkan nilai publik dan tata alamat yang dipilih operatornya, tidak lebih. Kirimkan string publik itu melalui kanal yang diharapkan operator, lalu pastikan entri peer mana yang disisipinya sebelum siapa pun mengujinya, karena kunci yang benar di bagian yang salah gagal dengan cara yang tampak seperti masalah kunci. Kirimkan sebagai satu baris tanpa lipatan, karena kunci yang terpotong di dua baris akan tertempel ke berkas konfigurasi tanpa keluhan dan kemudian tidak pernah cocok.

Membuat kunci tidak memberi wewenang apa pun dengan sendirinya. Peer harus dikonfigurasi untuk menerimanya, dan langkah konfigurasi itu milik siapa pun yang menjalankan ujung tersebut.

Uji pasangan dengan pertukaran nyata

Pasangan kunci mengidentifikasi satu ujung terowongan; ia tidak membuat rute, entri resolver, aturan penerusan, atau izin firewall. Setelah peer disediakan, ujilah pertukarannya, bukan berkasnya: jabat tangan yang muncul di wg show, alamat yang menjawab di dalam terowongan, dan satu permintaan aplikasi yang bergantung pada rute. Trio itu memisahkan kunci yang salah dari kunci yang benar dan jalur yang hilang.

Simpan satu identitas per perangkat bila penyebaran mengizinkannya, agar unit yang hilang dapat dicabut sendiri alih-alih memaksa semua orang membuat kunci ulang. Keputusan itu juga yang membuat prosedur penggantian di bawah aman dijalankan.

Mengganti kunci tanpa jeda

Buat penggantinya di perangkat, tambahkan kunci publik baru sebagai peer tambahan, pastikan ia membawa lalu lintas, dan baru kemudian hapus yang lama. Melakukannya dalam urutan itu berarti terowongan tidak pernah memiliki momen tanpa identitas yang sah, dan pengembaliannya hanyalah menghapus entri yang baru saja Anda tambahkan.

Simpan berkas privat yang digantikan sampai peer baru terkonfirmasi, lalu musnahkan dengan sengaja. Panduan cepat WireGuard adalah rujukan untuk perintahnya sendiri, dan cukup singkat untuk dibaca seluruhnya sebelum Anda mulai.