Sukurkite WireGuard raktų porą vietoje: komandos ir atsargumas

Dvi komandos sukuria WireGuard raktų porą ir abi ateina su standartinėmis priemonėmis, todėl šiai užduočiai nereikia svetainės, kuri siūlo sukurti raktą už jus. Sugenda ne kreivės aritmetika; sugenda teisių bitai, vieta, kurioje atsiduria failas, ir tai, kas vėliau siunčiama kitam galui. Toliau pateikta seka prasideda tuščiame kataloge ir baigiasi partnerio, kuris neša srautą, pusėje. Perskaitykite ją kartą prieš vykdydami, nes pirmoji eilutė turi prasmę tik tada, kai kita vykdoma toje pačioje apvalkale.

Poros sukūrimas vienoje apvalkale

Dokumentuota darbo eiga riboja failų kūrimą iki tol, kol privati reikšmė dar neegzistuoja, o paskui iš jos išveda viešą reikšmę. Visos trys eilutės priklauso vienai apvalkalo sesijai:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey įrašo 32 baitų Curve25519 privatų raktą base64 formatu; wg pubkey jį nuskaito ir išveda atitinkamą viešą raktą, o tee išsaugo privačią reikšmę ir perduoda ją vamzdžiu toliau. Būtent ši tvarka yra priežastis, kodėl teisių eilutė eina pirmoji, ir kodėl vamzdyno įklijavimas į antrą terminalą jį tyliai praranda. Failų pavadinimai iliustraciniai, o svarbiausia, kad abu failai atsidurtų ten, ką kontroliuoja juos turintis įrenginys. Jei privatus failas jau egzistuoja su numatytosiomis teisėmis, chmod 600 privatekey pataiso dabartinį failą ir nieko nedaro su anksčiau padarytomis kopijomis.

Laikykite privačią pusę viename įrenginyje

Privati reikšmė priklauso mašinai, kuri valdys tapatybę, kataloge, kurį ta mašina saugo ir kurį jos atsarginės kopijos traktuoja kaip prisijungimo duomenis. Ji nepriklauso bendrame kataloge, žinutėje sau ar iškarpoje, pridėtoje prie pagalbos užklausos, o įterpta kopija daro konfigūracijos failą lygiai tokį pat jautrų kaip raktas. Raktas, gyvenęs trijose vietose, vėliau nebegali būti apgalvotas, ir tai praktinė priežastis laikyti jį vienoje.

Sąmoningas nebenaudojamo failo sunaikinimas yra to paties įpročio dalis. Palikti jį atsisiuntimų kataloge, kol kas nors pastebės, nėra.

Ko iš jūsų reikia partnerio operatoriui

Kitai pusei reikia viešos reikšmės ir adresų išdėstymo, kurį pasirinko jos operatorius, ir nieko daugiau. Nusiųskite tą viešą eilutę kanalu, kurio tikisi operatorius, tada patvirtinkite, prie kurio partnerio įrašo ji buvo prijungta, prieš kam nors ją išbandant, nes teisingas raktas neteisingame skyriuje nepavyksta taip, kad atrodo kaip rakto problema. Siųskite ją viena nesulaužyta eilute, nes raktas, sulaužytas per dvi eilutes, be jokių priekaištų įklijuojamas į konfigūracijos failą ir paskui niekada nesutampa.

Rakto sukūrimas pats savaime nieko neįgalina. Partneris turi būti sukonfigūruotas jį priimti, o konfigūravimo žingsnis priklauso tam, kas valdo tą galą.

Išbandykite porą tikru mainu

Raktų pora identifikuoja vieną tunelio galą; ji nesukuria maršruto, resolverio įrašo, persiuntimo taisyklės ar ugniasienės leidimo. Paruošus partnerį, išbandykite mainus, o ne failą: rankos paspaudimą, kuris pasirodo wg show, adresą, kuris atsako tunelio viduje, ir vieną programos užklausą, kuri priklauso nuo maršruto. Šis trejetas atskiria neteisingą raktą nuo teisingo rakto ir trūkstamo kelio.

Laikykite vieną tapatybę vienam įrenginiui, kai diegimas tai leidžia, kad pamestą vienetą būtų galima atšaukti atskirai, o ne versti visus iš naujo kurti raktus. Šis sprendimas taip pat daro toliau pateiktą pakeitimo procedūrą saugią vykdyti.

Rakto pakeitimas be spragos

Sukurkite pakaitalą įrenginyje, pridėkite naują viešą raktą kaip papildomą partnerį, patvirtinkite, kad jis neša srautą, ir tik tada pašalinkite senąjį. Šia tvarka veikiant tunelis niekada neturi akimirkos be galiojančios tapatybės, o grąžinimas atgal yra tiesiog ką tik pridėto įrašo ištrynimas.

Laikykite pakeistą privatų failą, kol bus patvirtintas naujas partneris, tada sąmoningai jį sunaikinkite. WireGuard greitasis startas yra nuoroda patiems komandoms, ir jis pakankamai trumpas, kad perskaitytumėte jį visą prieš pradėdami.