E WireGuard-Schlësselpaar lokal erstellen: Kommandoen a Suergfalt

Zwee Kommandoen erstellen e WireGuard-Schlësselpaar a béid kommen mat de Standardinstrumenter, dofir brauch dës Aufgab keng Websäit, déi ubitt, e Schlëssel fir Iech ze maachen. Wat schief geet, ass ni d'Kurve-Arithmetik; et sinn d'Berechtegungsbits, den Uert wou d'Datei land, an dat wat duerno op déi aner Säit geschéckt gëtt. D'Reiefolleg hei drënner fänkt an engem eidelen Dossier un an hält bei engem Peer op, deen Traffic dréit. Liest se eemol ier Dir se ausféiert, well déi éischt Linn nëmmen dann zielt, wann déi nächst an der selwechter Shell leeft.

D'Paar an enger Shell erstellen

Den dokumentéierte Workflow limitéiert d'Dateierstellung ier de private Wäert existéiert, an deelt duerno den ëffentleche Wäert dovun of. All dräi Linnen gehéieren zesummen an eng eenzeg Shell-Sessioun:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey schreift en 32-Byte private Curve25519-Schlëssel a base64; wg pubkey liest en a leet de passenden ëffentleche Schlëssel dovun of, an tee späichert de private Wäert, wärend en en duerch d'Päif weidergëtt. Dës Reiefolleg ass de Grond, firwat d'Berechtegungszeil als éischt kënnt, a firwat d'Pipeline an en zweeten Terminal ze paste se stëll verléiert. D'Dateinimm sinn illustrativ, an dat Wichtegst ass, datt béid Dateien do landen, wou dat besëtzend Apparat d'Kontroll huet. Wann eng privat Datei schonn mat Standardberechtegunge existéiert, reparéiert chmod 600 privatekey déi aktuell Datei an mécht näischt mat Kopien, déi virdru gemaach goufen.

Déi privat Hallschent op engem Apparat halen

De private Wäert gehéiert op d'Maschinn, déi d'Identitéit besëtze wäert, an en Dossier, deen déi Maschinn schützt an deen hir Backupe wéi en Authentifikatiounsmooss behandelen. En gehéiert net an en gedeelten Dossier, an eng Noriicht un Iech selwer oder an en Auszuch, deen un engem Support-Ticket hänkt, an eng agebaut Kopie mécht d'Konfiguratiounsdatei genee esou sensibel wéi de Schlëssel. E Schlëssel, deen op dräi Plazen gelieft huet, kann een duerno net méi duerchdenken, an dat ass de praktesche Grond, en op enger ze halen.

Eng pensionéiert Datei bewosst zerstéieren ass Deel vun der selwechter Gewunnecht. Se an engem Download-Dossier leien ze loossen, bis een et mierkt, ass et net.

Wat den Operateur vum Peer vun Iech brauch

Déi aner Säit brauch den ëffentleche Wäert an d'Adressanuerdnung, déi hire Operateur gewielt huet, soss näischt. Schéckt déi ëffentlech Zeecheketten iwwer de Kanal, deen den Operateur erwaart, a bestätegt duerno, wéi engem Peer-Akommes se ugehaange gouf, ier een se testt, well e korrekte Schlëssel am falschen Abschnitt op eng Manéier feelt, déi wéi e Schlësselproblem ausgesäit. Schéckt en als eng eenzeg ongebrach Linn, well e Schlëssel, deen iwwer zwou Linne gebrach ass, ouni Plainte an eng Konfiguratiounsdatei paste gëtt an duerno ni méi entsprécht.

E Schlëssel ze generéieren autoriséiert fir sech selwer näischt. De Peer muss konfiguréiert ginn, en ze akzeptéieren, an de Konfiguratiounsschratt gehéiert deemjenegen, deen déi Säit bedreift.

D'Paar mat engem richtege Austausch testen

E Schlësselpaar identifizéiert eng Enn vun engem Tunnel; et erstellt keng Route, keen Resolver-Akommes, keng Weiderleeungsregel a keng Firewall-Erlaabnes. Nodeems de Peer provisioning kritt huet, testt den Austausch an net d'Datei: en Handshake, deen an wg show erschéngt, eng Adress, déi bannen am Tunnel äntwert, an eng Uwendungsofro, déi vun der Route ofhänkt. Dës Dräiergrupp trennt e falsche Schlëssel vun engem richtege Schlëssel an engem fehlende Wee.

Halt eng Identitéit pro Apparat, wann d'Deployment et erlaabt, sou datt eng verluer Eenheet eleng widerruf kënne ginn, amplaz jiddereen ze zwéngen, nei Schlësselen ze generéieren. Dës Entscheedung ass och dat, wat de Ersatzprozedur hei drënner sécher ze lafe mécht.

E Schlëssel ouni Lach ersetzen

Generéiert den Ersatz op dem Apparat, füügt den neien ëffentleche Schlëssel als zousätzleche Peer dobäi, bestätegt, datt en Traffic dréit, a entfernt eréischt dann den alen. An dëser Reiefolleg ze schaffen heescht, datt den Tunnel ni e Moment ouni valabel Identitéit huet, an d'Zeréckrullen ass einfach d'Läschen vum Akommes, deen Dir just derbäi gefüügt hutt.

Halt déi ersat privat Datei, bis den neie Peer bestätegt ass, a zerstéier se duerno wéi gewollt. De WireGuard-Schnellstart ass d'Referenz fir d'Kommandoen selwer, an en ass kuerz genuch, fir en virum Ufank ganz ze liesen.