Búðu til WireGuard-lyklapar staðbundið: skipanir og varúð

Tvær skipanir búa til WireGuard-lyklapar og báðar fylgja stöðluðu verkfærunum, þannig að þetta verk þarf enga vefsíðu sem býður að búa til lykil fyrir þig. Það sem fer úrskeiðis er aldrei ferilreikningurinn; það eru heimildabitarnir, staðurinn þar sem skráin lendir og það sem síðan er sent til hins endans. Röðin hér fyrir neðan byrjar í tómri möppu og endar hjá jafningja sem ber umferð. Lestu hana einu sinni áður en þú keyrir hana, því fyrsta línan skiptir aðeins máli ef næsta keyrir í sama skel.

Búa til parið í einni skel

Skráð vinnuferli takmarkar skráarsköpun áður en einkagildið er til, og leiðir síðan opinbera gildið af því. Allar þrjár línurnar eiga saman í eina skelarlotu:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey skrifar 32 bæta einkanlegan Curve25519-lykil í base64; wg pubkey les hann og leiðir samsvarandi opinberan lykil af honum, og tee geymir einkagildið á meðan það sendir það niður pípuna. Þessi röð er ástæðan fyrir því að heimildarlínan kemur fyrst og fyrir því að líming pípunnar í annað útstöðvarherbergi tapar henni hljóðlaust. Skráarheitin eru dæmigerð og það sem skiptir máli er að báðar skrár lendi þar sem tækið sem á þær hefur stjórn. Ef einkaskrá er þegar til með sjálfgefnum heimildum lagar chmod 600 privatekey núverandi skrá og gerir ekkert við afrit sem tekin voru fyrr.

Haltu einkahlutanum á einu tæki

Einkagildið tilheyrir vélinni sem mun eiga auðkennið, í möppu sem sú vélin verndar og sem öryggisafrit hennar meðhöndla sem skilríki. Það á ekki heima í sameiginlegri möppu, í skilaboðum til sjálfs sín eða í broti sem fylgir stuðningsmiða, og innfellt afrit gerir stillingarskrána nákvæmlega jafn viðkvæma og lykilinn. Lykil sem hefur lifað á þremur stöðum er ekki hægt að rökræða síðar, og það er hagnýta ástæðan fyrir að halda honum á einum.

Að eyðileggja skrá sem er orðin úrelt viljandi er hluti af sömu venju. Að skilja hana eftir í niðurhalsmöppu þar til einhver tekur eftir er það ekki.

Hvað stjórnandi jafningsins þarf frá þér

Hin hliðin þarf opinbera gildið og fyrirkomulag heimilisfanga sem stjórnandi hennar valdi, ekkert annað. Sendu þann opinbera streng um þá rás sem stjórnandinn á von á, staðfestu síðan við hvaða jafningjafærslu hann var tengdur áður en einhver prófar hann, því réttur lykill í röngum hluta bregst á þann hátt að virðist vera lykilvandamál. Sendu hann sem eina óbrotna línu, því lykill sem er brotinn yfir tvær línur límist í stillingarskrá án kvartana og passar síðan aldrei.

Að búa til lykil heimildar ekkert sjálft. Jafninginn verður að stilla til að taka við honum, og stillingarskrefið tilheyrir þeim sem stýrir þeim enda.

Prófaðu parið með raunverulegri skiptingu

Lyklapar auðkennir annan enda göngs; það býr til enga leið, enga færslu í leysi, enga framsendingarreglu og ekkert leyfi í eldvegg. Þegar jafninginn hefur verið útbúinn skaltu prófa skiptinguna frekar en skrána: handaband sem birtist í wg show, heimilisfang sem svarar inni í gönginni og ein beiðni forrits sem ræðst af leiðinni. Þessi þrenna aðgreinir rangan lykil frá réttum lykli og leið sem vantar.

Haltu einu auðkenni á hvert tæki þegar uppsetningin leyfir það, svo tapaðri einingu sé hægt að afturkalla eina og sér í stað þess að neyða alla til að búa til lykla aftur. Sú ákvörðun er líka það sem gerir skiptiaðferðina hér fyrir neðan örugga í keyrslu.

Skipta út lykli án eyðu

Búðu til varalykilinn á tækinu, bættu nýja opinbera lyklinum við sem viðbótarjafningja, staðfestu að hann beri umferð og fjarlægðu svo gamla. Að gera þetta í þeirri röð þýðir að gangin hefur aldrei augnablik án gilds auðkennis, og afturköllunin er einfaldlega að eyða færslunni sem þú bættir við.

Haltu skipta einkaskránni þar til nýi jafninginn er staðfestur og eyðileggðu hana svo viljandi. Skjóta byrjun WireGuard er tilvísunin fyrir skipanirnar sjálfar og er nógu stutt til að lesa hana í heild áður en þú byrjar.