WireGuard кілт жұбын жергілікті түрде жасау: командалар мен сақтық

Екі команда WireGuard кілт жұбын жасайды және екеуі де стандартты құралдармен келеді, сондықтан бұл тапсырмаға сіз үшін кілт жасауды ұсынатын сайттың қажеті жоқ. Бұзылатын нәрсе ешқашан қисық арифметикасы емес; ол рұқсат биттері, файл түсетін орын және содан кейін арғы жаққа жіберілетін нәрсе. Төмендегі реттілік бос каталогта басталып, трафикті тасымалдайтын серіктесте аяқталады. Орындамас бұрын оны бір рет оқып шығыңыз, өйткені бірінші жол келесі жол сол shell-де орындалғанда ғана маңызды.

Жұпты бір shell-де жасау

Құжатталған жұмыс ағыны жеке мән пайда болғанға дейін файл жасауды шектейді, содан кейін одан ашық мәнді шығарады. Үш жол да бір shell сессиясына бірге жатады:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey 32 байттық Curve25519 жеке кілтін base64 түрінде жазады; wg pubkey оны оқып, сәйкес ашық кілтті шығарады, ал tee жеке мәнді құбыр арқылы төмен жіберіп отырып сақтайды. Дәл осы рет рұқсат жолының бірінші келуінің және құбыр желісін екінші терминалға қою оны үнсіз жоғалтуының себебі. Файл атаулары мысал ретінде берілген, ал маңыздысы — екі файл да иелік ететін құрылғы бақылайтын жерге түсуі керек. Егер жеке файл әдепкі рұқсаттармен бұрыннан бар болса, chmod 600 privatekey ағымдағы файлды түзейді және бұрын жасалған көшірмелерге ештеңе істемейді.

Жеке жартысын бір құрылғыда ұстаңыз

Жеке мән сәйкестікке ие болатын машинаға тиесілі, сол машина қорғайтын және оның резервтік көшірмелері куәлік ретінде қарайтын каталогта болуы керек. Ол ортақ қалтада, өзіңізге жіберген хабарламада немесе қолдау билетіне тіркелген үзіндіде болмауы керек, ал ендірілген көшірме конфигурация файлын кілт сияқты сезімтал етеді. Үш жерде тұрған кілтті кейін ой елегінен өткізу мүмкін емес, және бұл оны бір жерде ұстаудың практикалық себебі.

Зейнетке шыққан файлды әдейі жою — сол дағдының бір бөлігі. Оны жүктеулер қалтасында біреу байқағанша қалдыру олай емес.

Серіктес операторы сізден не қажет етеді

Екінші жаққа ашық мән және оның операторы таңдаған мекенжай реті қажет, басқа ештеңе жоқ. Сол ашық жолды оператор күтетін арна арқылы жіберіңіз, содан кейін біреу оны сынамас бұрын оның қай серіктес жазбасына тіркелгенін растаңыз, өйткені дұрыс кілт қате бөлімде кілт мәселесіне ұқсайтын түрде сәтсіздікке ұшырайды. Оны бір бүктелмеген жол ретінде жіберіңіз, өйткені екі жолға бөлінген кілт конфигурация файлына шағымсыз жабысады да, кейін ешқашан сәйкес келмейді.

Кілт жасау өздігінен ештеңеге рұқсат бермейді. Серіктесті оны қабылдауға конфигурациялау керек, ал конфигурациялау қадамы сол жақты басқаратын адамдікі.

Жұпты нақты алмасумен тексеріңіз

Кілт жұбы туннельдің бір ұшын анықтайды; ол маршрут, шешуші жазбасы, қайта жіберу ережесі немесе firewall рұқсатын жасамайды. Серіктес дайындалған соң файлды емес, алмасуды тексеріңіз: wg show шығысында көрінетін қол алысу, туннель ішінде жауап беретін мекенжай және маршрутқа тәуелді бір қолданба сұранысы. Осы үштік қате кілтті дұрыс кілттен және жетіспейтін жолдан ажыратады.

Орналастыру рұқсат етсе, әр құрылғыға бір сәйкестіктен ұстаңыз, сонда жоғалған бірлікті бөлек қайтарып алуға болады, бәрін кілттерді қайта жасауға мәжбүрлемейсіз. Дәл осы шешім төмендегі ауыстыру рәсімін қауіпсіз орындауға мүмкіндік береді.

Кілтті саңылаусыз ауыстыру

Ауыстырғышты құрылғыда жасаңыз, жаңа ашық кілтті қосымша серіктес ретінде қосыңыз, оның трафикті тасымалдайтынын растаңыз, содан кейін ғана ескісін алып тастаңыз. Осы ретпен жасау туннельде жарамды сәйкестіксіз сәт болмайтынын білдіреді, ал кері қайтару — жаңа ғана қосқан жазбаны жою.

Жаңа серіктес расталғанша ауыстырылған жеке файлды сақтаңыз, содан кейін оны әдейі жойыңыз. WireGuard жылдам бастауы командалардың өзіне арналған анықтамалық және бастамас бұрын толық оқуға жеткілікті қысқа.