Izveidojiet WireGuard atslēgu pāri lokāli: komandas un piesardzība

Divas komandas izveido WireGuard atslēgu pāri, un abas nāk kopā ar standarta rīkiem, tāpēc šim uzdevumam nav vajadzīga vietne, kas piedāvā izveidot atslēgu jūsu vietā. Tas, kas sabrūk, nekad nav līknes aritmētika; tās ir atļauju biti, vieta, kur nonāk fails, un tas, kas pēc tam tiek nosūtīts uz otru galu. Zemāk secība sākas tukšā direktorijā un beidzas pie partnera, kas pārvadā datplūsmu. Izlasiet to vienreiz pirms izpildes, jo pirmā rinda ir svarīga tikai tad, ja nākamā izpildās tajā pašā čaulā.

Pāra izveide vienā čaulā

Dokumentētā darbplūsma ierobežo failu veidošanu pirms privātās vērtības pastāvēšanas un pēc tam atvasina publisko vērtību no tās. Visas trīs rindas pieder kopā vienā čaulas sesijā:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey ieraksta 32 baitu Curve25519 privāto atslēgu base64 formātā; wg pubkey to nolasa un atvasina atbilstošo publisko atslēgu, un tee saglabā privāto vērtību, vienlaikus nododot to tālāk pa cauruli. Tieši šī secība ir iemesls, kāpēc atļauju rinda nāk pirmā, un tam, kāpēc cauruļvada ielīmēšana otrā terminālī to klusi pazaudē. Failu nosaukumi ir ilustratīvi, un svarīgi ir tas, ka abi faili nonāk vietā, ko kontrolē to īpašniekierīce. Ja privātais fails jau pastāv ar noklusējuma atļaujām, chmod 600 privatekey izlabo pašreizējo failu un neko nedara ar agrāk veidotām kopijām.

Turiet privāto pusi vienā ierīcē

Privātā vērtība pieder mašīnai, kurai būs identitāte, mapē, ko šī mašīna aizsargā un ko tās dublējumi uzskata par akreditācijas datiem. Tā nepieder koplietotā mapē, ziņojumā sev vai izgriezumā, kas pievienots atbalsta pieteikumam, un iegultā kopija padara konfigurācijas failu tieši tikpat jutīgu kā atslēgu. Atslēgu, kas dzīvojusi trīs vietās, vēlāk nevar apdomāt, un tas ir praktiskais iemesls turēt to vienā.

No lietošanas izņemta faila apzināta iznīcināšana ir tā paša ieraduma daļa. Atstāt to lejupielāžu mapē, līdz kāds ievēro, nav.

Kas no jums nepieciešams partnera operatoram

Otrai pusei nepieciešama publiskā vērtība un operatora izvēlētais adrešu izkārtojums, nekas cits. Nosūtiet šo publisko virkni pa kanālu, kuru operators gaida, pēc tam apstipriniet, kurai partnera vienībai tā tika pievienota, pirms kāds to pārbauda, jo pareiza atslēga nepareizajā sadaļā neizdodas tā, kas izskatās pēc atslēgas problēmas. Nosūtiet to kā vienu nelocītu rindu, jo atslēga, kas pārlocīta divās rindās, bez iebildumiem ielīmējas konfigurācijas failā un pēc tam nekad nesakrīt.

Atslēgas ģenerēšana pati par sevi neko neautorizē. Partneris ir jākonfigurē, lai to pieņemtu, un konfigurēšanas solis pieder tam, kurš pārvalda šo galu.

Pārbaudiet pāri ar īstu apmaiņu

Atslēgu pāris identificē vienu tuneļa galu; tas neizveido maršrutu, atrisinātāja ierakstu, pāradresācijas noteikumu vai ugunsmūra atļauju. Pēc partnera sagatavošanas pārbaudiet apmaiņu, nevis failu: rokasspiedienu, kas parādās wg show, adresi, kas atbild tuneļa iekšienē, un vienu lietotnes pieprasījumu, kas atkarīgs no maršruta. Šis trijnieks atdala nepareizu atslēgu no pareizas atslēgas un trūkstoša ceļa.

Turiet vienu identitāti uz ierīci, ja izvietošana to pieļauj, lai pazaudētu vienību varētu atsaukt atsevišķi, nevis likt visiem no jauna ģenerēt atslēgas. Šis lēmums arī padara zemāk aprakstīto nomaiņas procedūru drošu izpildei.

Atslēgas nomaiņa bez spraugas

Ģenerējiet aizstājēju ierīcē, pievienojiet jauno publisko atslēgu kā papildu partneri, apstipriniet, ka tā pārvadā datplūsmu, un tikai tad noņemiet veco. Rīkošanās šādā secībā nozīmē, ka tunelim nekad nav brīža bez derīgas identitātes, un atritināšana ir vienkārši tikko pievienotā ieraksta dzēšana.

Turiet aizstāto privāto failu, līdz jaunais partneris ir apstiprināts, pēc tam apzināti to iznīciniet. WireGuard ātrais sākums ir atsauce uz pašām komandām, un tas ir pietiekami īss, lai to pilnībā izlasītu pirms sākšanas.