Биринчи жүктөө: WireGuard түзмөктөр флотун каттоо

Бир образ, ар бир тактага бир ачкыч жана түзмөктүн өз билдирүүсүнө ишенбеген авторизация кадамы. Жүктөөдөн тастыкталган peer-ге чейин төрт этап.

Такта жалпы образдан жүктөлөт, DHCP ижарасын алат жана бирөө түзмөккө тийишке чейин даярдоо скрипти иштейт. Ошол скрипттин бир жеринде ал ушул тактага таандык жана башка эч бирине таандык эмес WireGuard инсандыгын алышы, ошол инсандыкты авторизациядан өткөрүшү жана дарбаза кабыл ала турган профилди жазышы керек. Образ кардар программасын, каралып чыккан үлгүнү жана дарбазанын ачык ачкычын алып жүрүшү мүмкүн. Ал эч качан алып жүрбөшү керек нерсе бүт флот бөлүшкөн жалгыз жашыруун ачкыч, анткени бул бир уурдалган тактаны бүт флоттун окуясына айландырат. Төмөнкү тартип инсандыкты жергиликтүү, ал эми авторизацияны ачык кармайт.

Образ эмнени алып жүрөт, эмнени жүрбөйт

Буманы, толтургучтары бар үлгүнү, дарбазанын ачык ачкычын жана каттоо кардарын жөнөтүңүз. Үлгү бул форма, сыр эмес: ал даярдоочу колдонуучуга окула турган болушу жана эч кандай ачкыч материалын камтыбашы керек.

Жашыруун ачкыч биринчи жүктөөдө түзмөктө жаралат жана аны эч качан таштабайт. Бир гана ачык жарымы саякаттайт, түзмөктүн өзү тууралуу өз билдирүүсүнөн башка нерсе менен авторизацияланган каттоо сурамынын ичинде. Так ушул айырма уурдалган тактанын бүт флоттун көйгөйүнө айланышына жол бербейт. Жана бул биринчи жүктөө скрипттеринин көбү ката кетирген бөлүгү.

1-кадам: ачкычты жергиликтүү жаратуу

Жаратууну негизги тармак байланышы бекитилип иштегенден кийин корголгон каталогдо аткарыңыз. Ички кабык umask өзгөрүүсүн ушул операция менен чектеп кармайт, ал эми set -C бар файлды кайра жазуудан баш тартат:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard тез баштоо ушул эки буйрук таянган ачкыч жаратуу байланышын документтейт. Эгер жаратуу үзүлсө, түзмөктү катталбаган бойдон калтырыңыз жана жумуш агымы файлдарды шайкештештирсин. Скрипт башынан таза өтүшү үчүн бар инсандыкты жок кылбаңыз.

Күтүп турган ачкычты кайталап аракеттердин арасында сактаңыз. Ар бир убактылуу тармак катасынан кийин инсандыкты кайра жаратуу флоттун эч ким түзмөк менен дал келтире албаган жетим peer-лер менен калышынын жолу.

2-кадам: түзмөк жазуусун авторизациялоо

Инвентарь бул тактаны device-042 деп атайт жана ага 10.90.0.42/32 ыйгарат деп коёлу. Каттоо кызматы бул суроочунун ошол жазууга укугу бар экенин текшерүүгө тийиш. Формага терүлгөн сериялык номер далил эмес, анткени сериялык номерлер кутучанын сыртына басылат.

Ар бир түзмөк үчүн баштапкы дыкаттык, оператордун уруксаты же аппараттык камсыздалган аттестация билдирүүнү негиздей алат. Сурамдын бүтүндүгүн жана жооптун аныктыгын коргоңуз, жана бир жалпы VPN сырын бир жалпы заводдук дыкаттык менен алмаштырбаңыз.

Катталган жазуу түзмөктү, анын ачык ачкычын, ыйгарылган дарегин жана уруксат берилген башкаруу ролун байланыштырат. WireGuard өзү эч кандай каттоо API-син аныктабайт, андыктан бул кызмат сиз атайын куруп иштеткен нерсе.

3-кадам: эки шайкеш конфигурация жазуу

Түзмөккө башкаруу префикстерин туннелге багыттаган профиль керек, ал эми дарбазага ушул түзмөктүн өзүнүн булак дарегине гана уруксат берген peer жазуусу керек. Дарбаза 10.90.0.1 дарегинде жана башкаруу тармагы 10.60.0.0/16 болгондо, түзмөк тарабы мындай көрүнөт:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

Квадрат кашаанын ичиндеги маанилер толтургуч, ачкыч эмес. keepalive такта NAT артында турганда жана жеткиликтүү бойдон калышы керек болгондо маанилүү; ал бардык жерде талап кылынбайт, ал эми адаттан улам кошуу радиону себепсиз ойготуп турат.

Дарбазада peer жазуусу атайын тар:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

Түзмөктүн багыттоо тизмесин дарбазанын peer жазуусуна көчүрбөңүз. Түзмөктө бул тизме туннелге эмнени багыттоо керектигин айтат; дарбазада ал бул peer кайсы булак даректерин колдоно аларын айтат, жана булар ар башка билдирүүлөр.

Өткөрүү, firewall эрежелери жана башкаруу тармагына кайтуу жолу дагы эле бекитилген жеткиликтүүлүккө жол бериши керек. Катталган peer анын артындагы ар бир колдонмого уруксат эмес.

4-кадам: каттоону жашоо циклинин абалы катары бекитүү

Дарбаза жазуусун жана түзмөк профилин ар бир конфигурациянын ээси аркылуу колдонуңуз, андан кийин каттоону көздөлгөн инсандык жана дарек кабыл алынганда гана бүттү деп белгилеңиз. Кайталап аракеттер экинчи peer же экинчи дарек бөлүштүрүүнүн ордуна ошол эле жазууну шайкештештириши керек.

Үзүлгөн даярдоо үчүн калыбына келтирүү жолун кармаңыз, анын ичинде дарбаза ачкычты кабыл алып, ал эми түзмөк өз профилин эч качан жазбаган учурду да камтыйт.

Такта алмаштырылганда же пайдалануудан чыгарылганда, анын ачык ачкычын жана авторизациясын чогуу алып салыңыз. Жаңы ачкыч атайын жасалган кайра каттоо окуясы, образды кайра жазуунун жанындагы таасири эмес. Иш тартиби: жергиликтүү жаратуу, инвентарга каршы авторизациялоо, эки тарапты жазуу, абалды бекитүү, андан кийин туннель аркылуу бир башкаруу сурамын сыноо.

Тектеш макалалар