ಮೊದಲ ಬೂಟ್: WireGuard ಸಾಧನಗಳ ಬಳಗಕ್ಕೆ ನೋಂದಣಿ

ಬೋರ್ಡ್ ಸಾಮಾನ್ಯ ಇಮೇಜ್‌ನಿಂದ ಬೂಟ್ ಆಗುತ್ತದೆ, DHCP ಲೀಸ್ ಪಡೆಯುತ್ತದೆ, ಮತ್ತು ಯಾರೂ ಸಾಧನವನ್ನು ಸ್ಪರ್ಶಿಸುವ ಮೊದಲೇ ಪ್ರೊವಿಷನಿಂಗ್ ಸ್ಕ್ರಿಪ್ಟ್ ಚಲಿಸುತ್ತದೆ. ಆ ಸ್ಕ್ರಿಪ್ಟ್‌ನಲ್ಲಿ ಎಲ್ಲೋ ಅದು ಈ ಬೋರ್ಡ್‌ಗೆ ಸೇರಿದ ಮತ್ತು ಬೇರೆ ಯಾವುದಕ್ಕೂ ಸೇರದ WireGuard ಗುರುತನ್ನು ಪಡೆಯಬೇಕು, ಆ ಗುರುತಿಗೆ ಅನುಮೋದನೆ ಪಡೆಯಬೇಕು, ಮತ್ತು ಗೇಟ್‌ವೇ ಸ್ವೀಕರಿಸುವ ಪ್ರೊಫೈಲ್ ಬರೆಯಬೇಕು. ಇಮೇಜ್ ಕ್ಲೈಂಟ್ ತಂತ್ರಾಂಶ, ಪರಿಶೀಲಿಸಿದ ಟೆಂಪ್ಲೇಟ್ ಮತ್ತು ಗೇಟ್‌ವೇಯ ಸಾರ್ವಜನಿಕ ಕೀಯನ್ನು ಹೊತ್ತೊಯ್ಯಬಹುದು. ಅದು ಎಂದಿಗೂ ಹೊತ್ತೊಯ್ಯಬಾರದ್ದು ಇಡೀ ಬಳಗ ಹಂಚಿಕೊಳ್ಳುವ ಒಂದೇ ಖಾಸಗಿ ಕೀ, ಏಕೆಂದರೆ ಅದು ಕದ್ದ ಒಂದು ಬೋರ್ಡ್ ಅನ್ನು ಇಡೀ ಬಳಗದ ಘಟನೆಯಾಗಿಸುತ್ತದೆ. ಕೆಳಗಿನ ಕ್ರಮ ಗುರುತನ್ನು ಸ್ಥಳೀಯವಾಗಿ ಮತ್ತು ಅನುಮೋದನೆಯನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಇಡುತ್ತದೆ.

ಇಮೇಜ್ ಏನನ್ನು ಹೊತ್ತೊಯ್ಯುತ್ತದೆ, ಏನನ್ನು ಇಲ್ಲ

ಪ್ಯಾಕೇಜ್, ಪ್ಲೇಸ್‌ಹೋಲ್ಡರ್‌ಗಳಿರುವ ಟೆಂಪ್ಲೇಟ್, ಗೇಟ್‌ವೇಯ ಸಾರ್ವಜನಿಕ ಕೀ ಮತ್ತು ನೋಂದಣಿ ಕ್ಲೈಂಟ್ ಕಳುಹಿಸಿ. ಟೆಂಪ್ಲೇಟ್ ಒಂದು ಆಕಾರ, ರಹಸ್ಯವಲ್ಲ: ಅದು ಪ್ರೊವಿಷನಿಂಗ್ ಬಳಕೆದಾರರಿಗೆ ಓದಬಹುದಾದದ್ದಾಗಿರಬೇಕು ಮತ್ತು ಯಾವುದೇ ಕೀ ಸಾಮಗ್ರಿ ಹೊಂದಿರಬಾರದು.

ಖಾಸಗಿ ಕೀ ಮೊದಲ ಬೂಟ್‌ನಲ್ಲಿ ಸಾಧನದಲ್ಲೇ ಉತ್ಪಾದನೆಯಾಗುತ್ತದೆ ಮತ್ತು ಅದನ್ನು ಎಂದಿಗೂ ಬಿಡುವುದಿಲ್ಲ. ಸಾರ್ವಜನಿಕ ಅರ್ಧ ಮಾತ್ರ ಪ್ರಯಾಣಿಸುತ್ತದೆ, ಸಾಧನವು ತಾನು ಯಾರು ಎಂಬ ತನ್ನದೇ ಪ್ರತಿಪಾದನೆಯಲ್ಲದ ಬೇರೆ ಯಾವುದೋ ಒಂದರಿಂದ ಅನುಮೋದಿಸಲ್ಪಡುವ ನೋಂದಣಿ ವಿನಂತಿಯ ಒಳಗೆ. ಈ ವ್ಯತ್ಯಾಸವೇ ಕದ್ದ ಬೋರ್ಡ್ ಇಡೀ ಬಳಗದ ಸಮಸ್ಯೆಯಾಗದಂತೆ ತಡೆಯುತ್ತದೆ. ಮತ್ತು ಇದೇ ಭಾಗವನ್ನು ಬಹುಪಾಲು ಮೊದಲ-ಬೂಟ್ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳು ತಪ್ಪಾಗಿ ಮಾಡುತ್ತವೆ.

ಹಂತ 1: ಕೀಯನ್ನು ಸ್ಥಳೀಯವಾಗಿ ಉತ್ಪಾದಿಸಿ

ಅಂತರ್ಗತ ನೆಟ್‌ವರ್ಕ್ ಸಂಪರ್ಕ ಅನುಮೋದನೆಗೊಂಡು ಕಾರ್ಯನಿರ್ವಹಿಸಿದ ನಂತರ ಸುರಕ್ಷಿತ ಡೈರೆಕ್ಟರಿಯಲ್ಲಿ ಉತ್ಪಾದನೆ ನಡೆಸಿ. ಸಬ್‌ಶೆಲ್ umask ಬದಲಾವಣೆಯನ್ನು ಈ ಕಾರ್ಯಾಚರಣೆಗೆ ಸ್ಥಳೀಯವಾಗಿಸಿಡುತ್ತದೆ, ಮತ್ತು set -C ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಫೈಲ್ ಮೇಲೆ ಬರೆಯಲು ನಿರಾಕರಿಸುತ್ತದೆ:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard ತ್ವರಿತ ಆರಂಭ ಈ ಎರಡು ಆಜ್ಞೆಗಳು ಅವಲಂಬಿಸುವ ಕೀ-ಉತ್ಪಾದನಾ ಸಂಬಂಧವನ್ನು ದಾಖಲಿಸುತ್ತದೆ. ಉತ್ಪಾದನೆ ಅಡ್ಡಿಪಡಿಸಿದರೆ, ಸಾಧನವನ್ನು ನೋಂದಣಿಯಾಗದಂತೆ ಬಿಡಿ ಮತ್ತು ಕಾರ್ಯಪ್ರವಾಹ ಫೈಲ್‌ಗಳನ್ನು ಹೊಂದಿಸಲಿ. ಸ್ಕ್ರಿಪ್ಟ್ ಆರಂಭದಿಂದಲೇ ಸ್ವಚ್ಛವಾಗಿ ಚಲಿಸಲಿ ಎಂದಷ್ಟೇ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಗುರುತನ್ನು ಅಳಿಸಬೇಡಿ.

ಮರುಪ್ರಯತ್ನಗಳ ನಡುವೆ ಬಾಕಿ ಇರುವ ಕೀಯನ್ನು ಉಳಿಸಿಕೊಳ್ಳಿ. ಪ್ರತಿ ತಾತ್ಕಾಲಿಕ ನೆಟ್‌ವರ್ಕ್ ವೈಫಲ್ಯದ ನಂತರ ಗುರುತನ್ನು ಮತ್ತೆ ಉತ್ಪಾದಿಸುವುದು ಬಳಗವು ಯಾರೂ ಸಾಧನಕ್ಕೆ ಹೊಂದಿಸಲಾಗದ ಅನಾಥ peer‌ಗಳೊಂದಿಗೆ ಉಳಿಯುವ ದಾರಿ.

ಹಂತ 2: ಸಾಧನ ದಾಖಲೆಯನ್ನು ಅನುಮೋದಿಸಿ

ದಾಸ್ತಾನು ಈ ಬೋರ್ಡ್ ಅನ್ನು device-042 ಎಂದು ಕರೆದು ಅದಕ್ಕೆ 10.90.0.42/32 ನಿಯೋಜಿಸುತ್ತದೆ ಎಂದು ಭಾವಿಸಿ. ನೋಂದಣಿ ಸೇವೆಯು ಈ ವಿನಂತಿದಾರನಿಗೆ ಆ ದಾಖಲೆಯ ಹಕ್ಕಿದೆ ಎಂದು ಪರಿಶೀಲಿಸಬೇಕು. ಫಾರ್ಮ್‌ನಲ್ಲಿ ಟೈಪ್ ಮಾಡಿದ ಸೀರಿಯಲ್ ಸಂಖ್ಯೆ ಸಾಕ್ಷಿಯಲ್ಲ, ಏಕೆಂದರೆ ಸೀರಿಯಲ್ ಸಂಖ್ಯೆಗಳನ್ನು ಪೆಟ್ಟಿಗೆಯ ಹೊರಗೆ ಮುದ್ರಿಸಲಾಗಿರುತ್ತದೆ.

ಪ್ರತಿ-ಸಾಧನ ಬೂಟ್‌ಸ್ಟ್ರಾಪ್ ರುಜುವಾತು, ನಿರ್ವಾಹಕರ ಅನುಮೋದನೆ, ಅಥವಾ ಯಂತ್ರಾಂಶ-ಆಧಾರಿತ ದೃಢೀಕರಣವು ಪ್ರತಿಪಾದನೆಯನ್ನು ಸ್ಥಾಪಿಸಬಹುದು. ವಿನಂತಿಯ ಸಮಗ್ರತೆ ಮತ್ತು ಪ್ರತಿಕ್ರಿಯೆಯ ದೃಢತೆಯನ್ನು ರಕ್ಷಿಸಿ, ಮತ್ತು ಒಂದು ಹಂಚಿದ VPN ರಹಸ್ಯವನ್ನು ಒಂದು ಹಂಚಿದ ಕಾರ್ಖಾನೆ ರುಜುವಾತಿನಿಂದ ಬದಲಾಯಿಸಬೇಡಿ.

ನೋಂದಾಯಿತ ದಾಖಲೆ ಸಾಧನ, ಅದರ ಸಾರ್ವಜನಿಕ ಕೀ, ನಿಯೋಜಿತ ವಿಳಾಸ ಮತ್ತು ಅನುಮತಿಸಿದ ನಿರ್ವಹಣಾ ಪಾತ್ರವನ್ನು ಬಂಧಿಸುತ್ತದೆ. WireGuard ಸ್ವತಃ ಯಾವುದೇ ನೋಂದಣಿ API ಅನ್ನು ವ್ಯಾಖ್ಯಾನಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಆ ಸೇವೆ ನೀವು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ನಿರ್ಮಿಸಿ ನಿರ್ವಹಿಸುವ ವಿಷಯ.

ಹಂತ 3: ಹೊಂದಿಕೊಳ್ಳುವ ಎರಡು ಸಂರಚನೆಗಳನ್ನು ಬರೆಯಿರಿ

ಸಾಧನಕ್ಕೆ ನಿರ್ವಹಣಾ ಪೂರ್ವಪ್ರತ್ಯಯಗಳನ್ನು ಟನೆಲ್‌ಗೆ ರೂಟ್ ಮಾಡುವ ಪ್ರೊಫೈಲ್ ಬೇಕು, ಮತ್ತು ಗೇಟ್‌ವೇಗೆ ಈ ಸಾಧನದ ಸ್ವಂತ ಮೂಲ ವಿಳಾಸವನ್ನು ಮಾತ್ರ ಅನುಮತಿಸುವ peer ನಮೂದು ಬೇಕು. ಗೇಟ್‌ವೇ 10.90.0.1 ನಲ್ಲಿ ಮತ್ತು ನಿರ್ವಹಣಾ ಜಾಲ 10.60.0.0/16 ಆಗಿದ್ದಾಗ ಸಾಧನದ ಬದಿ ಹೀಗೆ ಕಾಣುತ್ತದೆ:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

ಆವರಣದೊಳಗಿನ ಮೌಲ್ಯಗಳು ಪ್ಲೇಸ್‌ಹೋಲ್ಡರ್‌ಗಳು, ಕೀಗಳಲ್ಲ. ಬೋರ್ಡ್ NAT ಹಿಂದೆ ಇದ್ದು ತಲುಪಬಹುದಾದಂತೆ ಉಳಿಯಬೇಕಾದಾಗ keepalive ಮುಖ್ಯ; ಅದು ಎಲ್ಲೆಡೆ ಅಗತ್ಯವಿಲ್ಲ, ಮತ್ತು ಅಭ್ಯಾಸದಿಂದ ಸೇರಿಸುವುದು ರೇಡಿಯೊವನ್ನು ಕಾರಣವಿಲ್ಲದೆ ಎಚ್ಚರವಾಗಿರಿಸುತ್ತದೆ.

ಗೇಟ್‌ವೇಯಲ್ಲಿ, peer ನಮೂದು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಸಂಕುಚಿತವಾಗಿದೆ:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

ಸಾಧನದ ಗಮ್ಯಸ್ಥಾನ ಪಟ್ಟಿಯನ್ನು ಗೇಟ್‌ವೇ peer ಗೆ ನಕಲಿಸಬೇಡಿ. ಸಾಧನದಲ್ಲಿ ಆ ಪಟ್ಟಿ ಟನೆಲ್‌ಗೆ ಏನನ್ನು ರೂಟ್ ಮಾಡಬೇಕೆಂದು ಹೇಳುತ್ತದೆ; ಗೇಟ್‌ವೇಯಲ್ಲಿ ಅದು ಈ peer ಯಾವ ಮೂಲ ವಿಳಾಸಗಳನ್ನು ಬಳಸಬಹುದೆಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಅವು ಬೇರೆ ಬೇರೆ ಹೇಳಿಕೆಗಳು.

ಫಾರ್ವರ್ಡಿಂಗ್, ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳು ಮತ್ತು ನಿರ್ವಹಣಾ ಜಾಲಕ್ಕೆ ಹಿಂತಿರುಗುವ ಮಾರ್ಗವು ಇನ್ನೂ ಅನುಮೋದಿತ ಪ್ರವೇಶವನ್ನು ಅನುಮತಿಸಬೇಕು. ನೋಂದಾಯಿತ peer ಅದರ ಹಿಂದಿನ ಪ್ರತಿ ಅನ್ವಯಕ್ಕೂ ಅನುಮತಿಯಲ್ಲ.

ಹಂತ 4: ನೋಂದಣಿಯನ್ನು ಜೀವನಚಕ್ರ ಸ್ಥಿತಿಯಾಗಿ ಸ್ಥಾಪಿಸಿ

ಪ್ರತಿ ಸಂರಚನೆಯ ಮಾಲೀಕರ ಮೂಲಕ ಗೇಟ್‌ವೇ ದಾಖಲೆ ಮತ್ತು ಸಾಧನ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಅನ್ವಯಿಸಿ, ನಂತರ ಉದ್ದೇಶಿತ ಗುರುತು ಮತ್ತು ವಿಳಾಸ ಸ್ವೀಕೃತವಾದಾಗ ಮಾತ್ರ ನೋಂದಣಿಯನ್ನು ಪೂರ್ಣ ಎಂದು ಗುರುತಿಸಿ. ಮರುಪ್ರಯತ್ನಗಳು ಎರಡನೇ peer ಅಥವಾ ಎರಡನೇ ವಿಳಾಸವನ್ನು ನಿಯೋಜಿಸುವ ಬದಲು ಅದೇ ದಾಖಲೆಯನ್ನು ಹೊಂದಿಸಬೇಕು.

ಅಡ್ಡಿಪಡಿಸಿದ ಪ್ರೊವಿಷನಿಂಗ್‌ಗಾಗಿ ಚೇತರಿಕೆ ಮಾರ್ಗವನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ, ಗೇಟ್‌ವೇ ಕೀಯನ್ನು ಸ್ವೀಕರಿಸಿ ಸಾಧನವು ಎಂದಿಗೂ ತನ್ನ ಪ್ರೊಫೈಲ್ ಬರೆಯದ ಪ್ರಕರಣ ಸೇರಿದಂತೆ.

ಬೋರ್ಡ್ ಬದಲಾದಾಗ ಅಥವಾ ನಿವೃತ್ತವಾದಾಗ, ಅದರ ಸಾರ್ವಜನಿಕ ಕೀ ಮತ್ತು ಅದರ ಅನುಮೋದನೆಯನ್ನು ಒಟ್ಟಿಗೆ ತೆಗೆದುಹಾಕಿ. ಹೊಸ ಕೀ ಉದ್ದೇಶಪೂರ್ವಕ ಮರುನೋಂದಣಿ ಘಟನೆ, ಮರು-ಇಮೇಜ್‌ನ ಅಡ್ಡಪರಿಣಾಮವಲ್ಲ. ಕೆಲಸದ ಕ್ರಮ: ಸ್ಥಳೀಯವಾಗಿ ಉತ್ಪಾದಿಸಿ, ದಾಸ್ತಾನಿನ ವಿರುದ್ಧ ಅನುಮೋದಿಸಿ, ಎರಡೂ ಬದಿ ಬರೆಯಿರಿ, ಸ್ಥಿತಿಯನ್ನು ಸ್ಥಾಪಿಸಿ, ನಂತರ ಟನೆಲ್ ಮೂಲಕ ಒಂದು ನಿರ್ವಹಣಾ ವಿನಂತಿಯನ್ನು ಪರೀಕ್ಷಿಸಿ.