WireGuard-ის გასაღების წყვილის ლოკალურად შექმნა: ბრძანებები და სიფრთხილე

ორი ბრძანება ქმნის WireGuard-ის გასაღების წყვილს და ორივე სტანდარტულ ხელსაწყოებთან ერთად მოდის, ამიტომ ამ ამოცანას არ სჭირდება საიტი, რომელიც გთავაზობთ თქვენთვის გასაღების შექმნას. რაც ფუჭდება, არასოდეს არის მრუდის არითმეტიკა; ეს არის ნებართვის ბიტები, ადგილი, სადაც ფაილი ჯდება, და ის, რაც შემდეგ იგზავნება მეორე ბოლოში. ქვემოთ მოცემული მიმდევრობა იწყება ცარიელ დირექტორიაში და მთავრდება თანამოქალაქესთან, რომელიც ტრაფიკს ატარებს. წაიკითხეთ ის ერთხელ გაშვებამდე, რადგან პირველ ხაზს მნიშვნელობა აქვს მხოლოდ მაშინ, თუ შემდეგი იმავე shell-ში გაეშვება.

წყვილის შექმნა ერთ shell-ში

დოკუმენტირებული სამუშაო პროცესი ზღუდავს ფაილების შექმნას სანამ კერძო მნიშვნელობა არსებობს, შემდეგ კი მისგან იღებს საჯარო მნიშვნელობას. სამივე ხაზი ერთად ეკუთვნის ერთ shell სესიას:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey წერს 32 ბაიტიან Curve25519 კერძო გასაღებს base64-ში; wg pubkey კითხულობს მას და იღებს შესაბამის საჯარო გასაღებს, ხოლო tee ინახავს კერძო მნიშვნელობას და პარალელურად გადასცემს მილით ქვემოთ. ეს რიგია მიზეზი იმისა, რომ ნებართვის ხაზი პირველი მოდის და იმისა, რომ მილსადენის მეორე ტერმინალში ჩასმა ჩუმად კარგავს მას. ფაილების სახელები საილუსტრაციოა და მთავარია, რომ ორივე ფაილი დაჯდეს იქ, სადაც მფლობელი მოწყობილობა აკონტროლებს. თუ კერძო ფაილი უკვე არსებობს ნაგულისხმევი ნებართვებით, chmod 600 privatekey ასწორებს მიმდინარე ფაილს და არაფერს აკეთებს ადრე გაკეთებულ ასლებთან.

შეინახეთ კერძო ნახევარი ერთ მოწყობილობაზე

კერძო მნიშვნელობა ეკუთვნის იმ მანქანას, რომელიც იდენტობას ფლობს, დირექტორიაში, რომელსაც ეს მანქანა იცავს და რომელსაც მისი სარეზერვო ასლები სანდოობის მონაცემად თვლიან. ის არ ეკუთვნის საერთო საქაღალდეს, საკუთარ თავს გაგზავნილ შეტყობინებას ან მხარდაჭერის ბილეთზე მიმაგრებულ ფრაგმენტს, და ჩაშენებული ასლი კონფიგურაციის ფაილს ზუსტად ისე მგრძნობიარეს ხდის, როგორც გასაღები. სამ ადგილას ნაცხოვრები გასაღების შესახებ მოგვიანებით მსჯელობა შეუძლებელია, და ეს არის ერთ ადგილას შენახვის პრაქტიკული მიზეზი.

გადამდგარი ფაილის განზრახ განადგურება იგივე ჩვევის ნაწილია. მისი ჩამოტვირთვების საქაღალდეში დატოვება, სანამ ვინმე შეამჩნევს, ასე არ არის.

რა სჭირდება თქვენგან თანამოქალაქის ოპერატორს

მეორე მხარეს სჭირდება საჯარო მნიშვნელობა და მისი ოპერატორის მიერ არჩეული მისამართების განლაგება, მეტი არაფერი. გაგზავნეთ ეს საჯარო სტრიქონი იმ არხით, რომელსაც ოპერატორი ელოდება, შემდეგ დაადასტურეთ, რომელ თანამოქალაქის ჩანაწერს მიემაგრა, სანამ ვინმე გამოსცდის, რადგან სწორი გასაღები არასწორ განყოფილებაში ისე ფუჭდება, რომ გასაღების პრობლემას ჰგავს. გაგზავნეთ ის ერთ გაუტეხავ ხაზად, რადგან ორ ხაზად გატეხილი გასაღები უჩივლელად ეწებება კონფიგურაციის ფაილს და შემდეგ არასოდეს ემთხვევა.

გასაღების შექმნა თავისთავად არაფერს აძლევს ნებას. თანამოქალაქე უნდა დაკონფიგურირდეს მის მისაღებად, და კონფიგურაციის ნაბიჯი ეკუთვნის მას, ვინც ამ ბოლოს მართავს.

შეამოწმეთ წყვილი რეალური გაცვლით

გასაღების წყვილი იდენტიფიცირებს გვირაბის ერთ ბოლოს; ის არ ქმნის მარშრუტს, გადამწყვეტის ჩანაწერს, გადაცემის წესს ან firewall-ის ნებართვას. თანამოქალაქის მომზადების შემდეგ შეამოწმეთ გაცვლა და არა ფაილი: ხელის ჩამორთმევა, რომელიც ჩნდება wg show-ში, მისამართი, რომელიც პასუხობს გვირაბის შიგნით, და ერთი აპლიკაციის მოთხოვნა, რომელიც მარშრუტზეა დამოკიდებული. ეს სამეული გამოჰყოფს არასწორ გასაღებს სწორი გასაღებისგან და დაკარგული ბილიკისგან.

შეინახეთ ერთი იდენტობა თითო მოწყობილობაზე, როცა განლაგება იძლევა საშუალებას, რომ დაკარგული ერთეული დამოუკიდებლად გაუქმდეს და ყველას გასაღების ხელახლა შექმნა არ მოუწიოს. სწორედ ეს გადაწყვეტილება ხდის ქვემოთ მოცემულ ჩანაცვლების პროცედურას უსაფრთხოს გასაშვებად.

გასაღების ჩანაცვლება უფსკრულის გარეშე

შექმენით ჩამნაცვლებელი მოწყობილობაზე, დაამატეთ ახალი საჯარო გასაღები დამატებით თანამოქალაქედ, დაადასტურეთ, რომ ის ტრაფიკს ატარებს, და მხოლოდ ამის შემდეგ მოხსენით ძველი. ამ რიგით კეთება ნიშნავს, რომ გვირაბს არასოდეს აქვს მომენტი ვალიდური იდენტობის გარეშე, და უკან დაბრუნება უბრალოდ ახლახან დამატებული ჩანაწერის წაშლაა.

შეინახეთ შეცვლილი კერძო ფაილი, სანამ ახალი თანამოქალაქე დადასტურდება, შემდეგ განზრახ გაანადგურეთ ის. WireGuard-ის სწრაფი დაწყება თავად ბრძანებებისთვის არის ცნობარი და საკმარისად მოკლეა, რომ დაწყებამდე მთლიანად წაიკითხოთ.