Бірінші жүктелу: WireGuard құрылғылар флотын тіркеу

Бір бейне, әр тақтаға бір кілт және құрылғының өз мәлімдемесіне сенбейтін авторизация қадамы. Жүктелуден расталған peer-ге дейінгі төрт кезең.

Тақта ортақ бейнеден жүктеледі, DHCP жалдауын алады және біреу құрылғыны ұстамай тұрып дайындау скрипті іске қосылады. Сол скрипттің бір жерінде ол осы тақтаға тиесілі және басқа ешбір тақтаға тиесілі емес WireGuard сәйкестігін алуы, сол сәйкестікті авторизациядан өткізуі және қақпа қабылдайтын профиль жазуы керек. Бейне клиенттік бағдарламалық жасақтаманы, қаралған үлгіні және қақпаның ашық кілтін алып жүре алады. Ол ешқашан алып жүрмеуі керек нәрсе бүкіл флот бөлісетін жалғыз жеке кілт, өйткені бұл бір ұрланған тақтаны бүкіл флоттың оқиғасына айналдырады. Төмендегі рет сәйкестікті жергілікті, ал авторизацияны айқын ұстайды.

Бейне нені алып жүреді, нені жүрмейді

Буманы, толтырғыштары бар үлгіні, қақпаның ашық кілтін және тіркеу клиентін жіберіңіз. Үлгі пішін, құпия емес: ол дайындау пайдаланушысына оқылатын болуы және ешқандай кілт материалын қамтымауы керек.

Жеке кілт бірінші жүктелуде құрылғыда жасалады және оны ешқашан тастап кетпейді. Тек ашық жартысы жүреді, құрылғының өзі туралы өз мәлімдемесінен өзге нәрсемен авторизацияланатын тіркеу сұранысының ішінде. Дәл осы айырмашылық ұрланған тақтаның бүкіл флоттың мәселесіне айналуына жол бермейді. Және бұл бірінші жүктелу скрипттерінің көбісі қате жасайтын бөлігі.

1-қадам: кілтті жергілікті жасау

Негізгі желілік қосылым мақұлданып, жұмыс істегеннен кейін жасауды қорғалған каталогта орындаңыз. Ішкі қабық umask өзгерісін осы операциямен шектеп ұстайды, ал set -C бар файлды қайта жазуды қабылдамайды:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard жылдам бастау осы екі команда сүйенетін кілт жасау байланысын құжаттайды. Егер жасау үзілсе, құрылғыны тіркелмеген күйде қалдырыңыз және жұмыс ағыны файлдарды үйлестірсін. Скрипт басынан таза өтуі үшін бар сәйкестікті жоймаңыз.

Күтіп тұрған кілтті қайта әрекеттер арасында сақтаңыз. Әрбір уақытша желі ақауынан кейін сәйкестікті қайта жасау флоттың ешкім құрылғымен сәйкестендіре алмайтын жетім peer-лермен қалуының жолы.

2-қадам: құрылғы жазбасын авторизациялау

Инвентарь бұл тақтаны device-042 деп атайды және оған 10.90.0.42/32 тағайындайды делік. Тіркеу қызметі бұл сұраушының сол жазбаға құқығы бар екенін тексеруі керек. Формаға терілген сериялық нөмір дәлел емес, өйткені сериялық нөмірлер қораптың сыртында басылады.

Әр құрылғыға арналған бастапқы тіркелгі деректері, оператордың мақұлдауы немесе аппараттық жасақтамамен қолдау көрсетілген аттестация мәлімдемені негіздей алады. Сұраныстың тұтастығын және жауаптың шынайылығын қорғаңыз, бір ортақ VPN құпиясын бір ортақ зауыттық тіркелгі деректерімен алмастырмаңыз.

Тіркелген жазба құрылғыны, оның ашық кілтін, тағайындалған мекенжайын және рұқсат етілген әкімшілік рөлін байланыстырады. WireGuard өзі ешқандай тіркеу API-ін анықтамайды, сондықтан бұл қызмет сіз әдейі құратын және басқаратын нәрсе.

3-қадам: екі сәйкес конфигурация жазу

Құрылғыға әкімшілік префикстерді туннельге бағыттайтын профиль керек, ал қақпаға тек осы құрылғының өз бастау мекенжайына рұқсат беретін peer жазбасы керек. Қақпа 10.90.0.1 мекенжайында және әкімшілік желі 10.60.0.0/16 болғанда, құрылғы жағы былай көрінеді:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

Шаршы жақшадағы мәндер толтырғыш, кілт емес. keepalive тақта NAT артында тұрып, қолжетімді болып қалуы керек кезде маңызды; ол барлық жерде қажет емес, ал әдеттен қосу радионы себепсіз ояу ұстайды.

Қақпада peer жазбасы әдейі тар:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

Құрылғының межелік тізімін қақпаның peer жазбасына көшірмеңіз. Құрылғыда бұл тізім туннельге нені бағыттау керектігін айтады; қақпада ол осы peer қандай бастау мекенжайларын пайдалана алатынын айтады, және бұлар әртүрлі мәлімдемелер.

Беру, firewall ережелері және әкімшілік желіге қайту жолы әлі де мақұлданған рұқсатқа жол беруі керек. Тіркелген peer оның артындағы әрбір қосымшаға рұқсат емес.

4-қадам: тіркеуді өмірлік цикл күйі ретінде бекіту

Қақпа жазбасын және құрылғы профилін әр конфигурацияның иесі арқылы қолданыңыз, содан кейін тіркеуді тек көзделген сәйкестік пен мекенжай қабылданғанда ғана аяқталды деп белгілеңіз. Қайта әрекеттер екінші peer немесе екінші мекенжай бөлудің орнына сол жазбаны үйлестіруі керек.

Үзілген дайындау үшін қалпына келтіру жолын ұстаңыз, оның ішінде қақпа кілтті қабылдап, ал құрылғы өз профилін ешқашан жазбаған жағдайды қоса.

Тақта ауыстырылғанда немесе пайдаланудан шығарылғанда, оның ашық кілтін және авторизациясын бірге жойыңыз. Жаңа кілт әдейі жасалған қайта тіркеу оқиғасы, бейнені қайта жазуының жанама әсері емес. Жұмыс тәртібі: жергілікті жасау, инвентарьға қарсы авторизациялау, екі жағын жазу, күйді бекіту, содан кейін туннель арқылы бір әкімшілік сұранысты сынау.

Қатысты мақалалар