Firwat Server-Schlësselen a Benotzer-Identitéiten ënnerschiddlech Besëtzer brauchen

De Schlëssel, deen beweist, datt Äre Gateway et selwer ass, an d'Identitéit, déi seet, datt eng Persoun ka bäitrieden, si béid Geheimnisser, an do hält d'Ähnlechkeet op. Dat een identifizéiert en Déngscht vis-à-vis vun all Client; dat anert identifizéiert ee Benotzer vis-à-vis vun deem Déngscht. Si ze mëschen spuert ee Schratt beim Opbau a kascht en Nomëtteg bei engem Tëschefall, well d'Erhuelung fir all eenzel net déiselwecht Operatioun ass. D'Opdeelung ass langweileg opzesetzen an erëmmerbar ze vergiessen.

Zwee Geheimnisser, zwee verschidde Besëtzer

De Gateway hält en private Schlëssel oder en Zertifikat, deem seng eenzeg Aufgab et ass, seng Identitéit beim Handshake ze beweisen. D'Clienten brauchen dat passend ëffentlecht Material, fir et ze verifizéieren, an si brauchen ni déi privat Hallschent. Genee déi Asymmetrie mécht d'Server-Authentifikatioun méiglech, ouni all Benotzer d'Fäegkeet ze ginn, de Server ze imitéieren.

Benotzermaterial geet an déi aner Richtung. En private Client-Schlëssel, en Client-Zertifikat oder e Passwuert weist, datt genee dës Persoun oder dëst Gerät Zougang kritt huet. Et gëtt erwaart, datt et verdeelt, tëscht Geräter kopéiert an irgendwann zréckgezunn gëtt.

WireGuard mécht d'Opdeelung evident, well all Participant e Schlësselpaar huet: de private Schlëssel vum Server bleift um Server, an eng Konfiguratiounsdatei, déi Dir engem Benotzer gitt, enthält säin eegene private Schlëssel plus de ëffentleche Schlëssel vum Server. E Profil, deen de private Schlëssel vum Server enthält, ass keng Ofkierzung, et ass eng Kompromittéierung, déi op eng Dateifreigab waart.

Dräi Froen, déi d'Opdeelung entscheeden

Frot wien d'Geheimnis liese muss kënnen, wat eng Verëffentlechung engem Ugräifer géif erlaben, an ob d'Léisung eng eenzeg Zréckzuch oder en Neibau vum Déngscht ass.

Wann e Benotzer et liese kann an et d'Identitéit vum Gateway beweist, ass d'Äntwert op déi zweet Fro, datt den Ugräifer Äre Server vis-à-vis vun all Client imitéiere kann — dat schlëmmst Resultat, well d'Clienten entwéckelt si fir där Identitéit ze vertrauen. Wann et nëmmen ee Benotzer beweist, gëtt d'Verëffentlechung deem Benotzer Zougang zu engem Peer, an den Zréckzuch ass eng Routineoperatioun. Wann et e Schlëssel vun enger Zertifizéierungsautoritéit ass, ass d'Verëffentlechung schlëmmer wéi béid, well den Ugräifer Identitéite kéint schafen, deenen all Endpunkt vertraut.

Déi dräi Äntwerten erginn d'Späicherregel: de CA-Schlëssel lieft offline oder an engem Safe, de Gateway-Schlëssel lieft um Gateway, a Benotzerschlësselen liewen bei de Benotzer. All Usiicht, deen all dräi aus Bequemlechkeet an engem Verzeechnis setzt, huet eng Entscheedung an en Accident verwandelt.

Wat e Client tatsächlech brauch

E Client brauch den ëffentlechen Zertifikat oder de ëffentleche Peerschlëssel, dat CA-Material oder de Fangerofdrock, deem hie soll vertrauen, säin eegene private Schlëssel an d'Detailer vum Endpunkt. Déi Lëscht enthält näischt, wat zu der privater Identitéit vum Gateway gehéiert.

D'Dokumentatioun ass do, wou dat leckt. Eng Uleedung, déi seet kopéiert de Serververzeechnis a läscht wat Dir net braucht, huet schonn dat falscht Modell geléiert, well d'Datei, déi no dem Läschschratt bleift, seelen een iwwerpréift.

Zréckzéien een Benotzer ouni de Gateway unzefassen

Well Benotzeridentitéiten separat ausginn, kënnen se separat zréckgezunn ginn. Eng zertifikatsbaséiert Deploy hëlt de Client-Zertifikat zréck a verëffentlecht eng aktualiséiert Zréckzuchslëscht; eng WireGuard-Deploy entfernt de Peer-Andrag aus der Serverkonfiguratioun. Keng vun dësen Operatiounen ännert de eegene Schlëssel vum Gateway.

Behalt den Ausstellungsregister, soss wësst Dir net, wéi eng Identitéit zréckzezéien. Eng Tabell ass genuch, wann se d'Persoun, d'Gerät, d'Seriennummer oder de ëffentleche Schlëssel an den Datum nennt, an wann een se pflegt nodeems d'Persoun, déi se gebaut huet, fortgeet.

D'Kommandos hei drënner iwwerpréiwen en Client-Zertifikat a zréckzéien en duerno iwwer eng Autoritéit am OpenSSL-Stil, wat de Floss ass, deen easy-rsa verpackt:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Verëffentlecht déi nei Lëscht do wou d'Clienten se iwwerpréiwen, soss ass den Zréckzuch eng Notiz an enger Datei, déi näischt ännert. Wann Äre Gateway Client-Zertifikaten akzeptéiert, ouni eng Zréckzuchslëscht ze consultéieren, sot et ausdrécklech amplaz ze implizéieren, datt den Zréckzuch funktionéiert.

Halt d'Backupen esou getrennt wéi d'Geheimnisser

En Neibau-Archiv enthält zu Recht de Gateway-Schlëssel an dat CA-Material, well ouni si kann eng Restauratioun den Déngscht net reproduzéieren. E Client-Setup-Paket däerf dat net, an déi zwee däerfe net zesumme gespäichert ginn. Etikettéiert all Archiv no wien et däerf halen, net nom Datum wéini et gemaach gouf. Dee Label ass dat, wat en midd Administrateur um zwou Auer nuets liest.

Dësen Ënnerscheed setzt och fest, wien all eenzelt zeréckhuele kann. De Gateway administréieren, Benotzeridentitéiten ausginn an Backupe liesen sinn dräi verschidde Muechten, an een deen dat eng brauch, brauch net automatesch déi aner. Schreift déi Erlaabnisser op an iwwerpréift se duerno géint dat, wat Äre Späicher tatsächlech erlaabt, well Verzeechnisierwe gëtt stëll méi wéi d'Politik wëll.