Fyrsta ræsing: skráning fyrir flock WireGuard-tækja

Ein ímynd, einn lykill á hvert borð og auðkenningarþrep sem treystir ekki fullyrðingu tækisins sjálfs. Fjögur stig frá ræsingu að staðfestum peer.

Borðið ræsist úr sameiginlegu ímyndinni, fær DHCP-leigu og úthlutunarskript keyrir áður en nokkur hefur snert tækið. Einhvers staðar í því skripti verður það að afla WireGuard-auðkennis sem tilheyrir þessu borði og engu öðru, láta auðkenna þá auðkenni og skrifa snið sem hliðið mun samþykkja. Ímyndin getur borið biðlaraforritið, yfirfarið sniðmát og opinberan lykil hliðsins. Það sem hún má aldrei bera er einn einkalykill sem allur flockurinn deilir, því það gerir eitt stolið borð að atviki fyrir allan flockinn. Röðin hér að neðan heldur auðkenninu staðbundnu og auðkenningunni skýrri.

Hvað ímyndin ber og hvað ekki

Sendu pakkann, sniðmátið með staðgengilum, opinberan lykil hliðsins og skráningarbiðlarann. Sniðmátið er form, ekki leyndarmál: það á að vera læsilegt fyrir úthlutunarnotandann og innihalda ekkert lykilefni.

Einkalykillinn er búinn til á tækinu við fyrstu ræsingu og yfirgefur það aldrei. Aðeins opinberi helmingurinn ferðast, inni í skráningarbeiðni sem er auðkennd með einhverju öðru en fullyrðingu tækisins sjálfs um hver það er. Þessi greinarmunur er það sem kemur í veg fyrir að stolið borð verði vandamál fyrir allan flockinn. Og það er líka sá hluti sem flest fyrstu-ræsingar skript gera rangt.

Skref 1: búa til lykilinn á staðnum

Keyrðu myndunina í varðri möppu eftir að undirliggjandi netkerfistenging hefur verið samþykkt og virkar. Undirskelin heldur umask-breytingunni staðbundinni fyrir þessa aðgerð og set -C neitar að yfirskrifa fyrirliggjandi skrá:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard flýtileiðbeiningar lýsir lyklamyndunarsambandinu sem þessar tvær skipanir byggja á. Ef myndunin er rofin skaltu láta tækið vera óskráð og láta vinnuflæðið samræma skrárnar. Ekki eyða fyrirliggjandi auðkenni bara til að skriptið keyri hreint frá byrjun.

Geymdu biðlykilinn milli endurtilrauna. Að endurnýja auðkenni eftir hvert tímabundið netbilun er leiðin sem flockur endar með foreldralausum peer sem enginn getur tengt tæki.

Skref 2: auðkenna tækjafærslu

Gerum ráð fyrir að birgðaskráin kalli þetta borð device-042 og úthluti því 10.90.0.42/32. Skráningarþjónustan verður að sannreyna að þessi beiðandi eigi rétt á þeirri færslu. Raðnúmer sem slegið er inn í eyðublað er ekki sönnun, því raðnúmer eru prentuð á ytra borði kassans.

Upphafsauðkenni fyrir hvert tæki, samþykki rekstraraðila eða vélbúnaðarstudd staðfesting geta staðfest fullyrðinguna. Verndaðu heilleika beiðninnar og áreiðanleika svarsins, og skiptu ekki einu sameiginlegu VPN-leyndarmáli út fyrir eitt sameiginlegt verksmiðjauðkenni.

Skráða færslan bindur tækið, opinberan lykil þess, úthlutað vistfang og leyft stjórnunarhlutverk þess. WireGuard sjálft skilgreinir ekkert skráningarforritaskil, svo sú þjónusta er eitthvað sem þú byggir og rekur viljandi.

Skref 3: skrifa tvær samhæfðar stillingar

Tækið þarf snið sem beinir stjórnunarforskeytunum inn í göngin, og hliðið þarf peer-færslu sem leyfir aðeins eigið upprunavistfang þessa tækis. Með hliðið á 10.90.0.1 og stjórnunarnetið 10.60.0.0/16 lítur tækishliðin svona út:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

Gildin innan hornklofa eru staðgenglar, ekki lyklar. Keepalive skiptir máli þegar borðið situr bak við NAT og verður að vera aðgengilegt; það er ekki nauðsynlegt alls staðar, og að bæta því við af vana heldur útvarpi vakandi án ástæðu.

Á hliðinu er peer-færslan þröng af ásetningi:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

Ekki afrita áfangalistann tækisins yfir í peer hliðsins. Á tækinu segir listinn hvað á að beina inn í göngin; á hliðinu segir hann hvaða upprunavistföng þessi peer má nota, og það eru mismunandi fullyrðingar.

Framsending, eldveggjarreglur og afturleiðin að stjórnunarnetinu verða enn að leyfa samþykktan aðgang. Skráður peer er ekki leyfi fyrir hvert forrit fyrir aftan hann.

Skref 4: festa skráninguna sem lífsferilsstöðu

Beittu færslu hliðsins og sniði tækisins í gegnum þann sem á viðkomandi stillingu, og merktu skráninguna síðan fullkláraða aðeins þegar fyrirhugað auðkenni og vistfang eru samþykkt. Endurtilraunir ættu að samræma sömu færsluna í stað þess að úthluta öðru peer eða öðru vistfangi.

Haltu endurheimtarleið fyrir rofna úthlutun, þar á meðal tilvikið þar sem hliðið samþykkti lykilinn og tækið skrifaði aldrei sniðið sitt.

Þegar borði er skipt út eða tekið úr notkun skal fjarlægja opinberan lykil þess og auðkenningu saman. Nýr lykill er viljandi endurskráningarviðburður, ekki aukaverkun endurmyndunar. Vinnuröð: búa til á staðnum, auðkenna gagnvart birgðaskrá, skrifa báðar hliðar, festa stöðuna og prófa svo eina stjórnunarbeiðni í gegnum göngin.

Tengdir greinar