Создајте WireGuard пар клучеви локално: команди и внимание

Две команди создаваат WireGuard пар клучеви и двете доаѓаат со стандардните алатки, така што оваа задача не бара веб-страница што нуди да ви создаде клуч. Она што се расипува никогаш не е аритметиката на кривата; тоа се битовите за дозволи, местото каде што слетува датотеката и она што потоа се праќа на другиот крај. Секвенцата подолу започнува во празен директориум и завршува кај партнер што носи сообраќај. Прочитајте ја еднаш пред да ја извршите, бидејќи првиот ред е важен само ако следниот се изврши во истата школка.

Создавање на парот во една школка

Документираниот работен тек го ограничува создавањето датотеки пред приватната вредност да постои, а потоа ја изведува јавната вредност од неа. Сите три реда припаѓаат заедно во една сесија на школка:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey запишува 32-бајтен приватен клуч Curve25519 во base64; wg pubkey го чита и ја изведува соодветната јавна вредност, а tee ја зачувува приватната вредност додека ја пренесува по цевката. Токму тој редослед е причината зошто редот за дозволи доаѓа прв и зошто лепењето на цевководот во втор терминал тивко го губи. Имињата на датотеките се илустративни, а важно е двете датотеки да слетаат некаде што го контролира уредот сопственик. Ако приватна датотека веќе постои со стандардни дозволи, chmod 600 privatekey ја поправа тековната датотека и не прави ништо со копиите направени порано.

Задржете ја приватната половина на еден уред

Приватната вредност припаѓа на машината што ќе го поседува идентитетот, во директориум што таа машина го штити и што нејзините резервни копии го третираат како акредитив. Таа не припаѓа во споделена папка, во порака до себе или во исечок прикачен на барање за поддршка, а вградената копија ја прави конфигурациската датотека точно толку чувствителна колку клучот. Клуч што живеел на три места не може подоцна да се промисли, и тоа е практичната причина да го држите на едно.

Намерното уништување на повлечена датотека е дел од истата навика. Оставањето во папка за преземања додека некој не забележи не е.

Што му треба на операторот на партнерот од вас

На другата страна ѝ требаат јавната вредност и распоредот на адреси што го избрал нејзиниот оператор, ништо друго. Пратете ја таа јавна низа низ каналот што операторот го очекува, потоа потврдете на кој запис за партнер е прикачена пред некој да ја тестира, бидејќи точен клуч во погрешен дел пропаѓа на начин што изгледа како проблем со клучот. Пратете ја како еден непреломен ред, бидејќи клуч преломен на два реда се лепи во конфигурациска датотека без жалба и потоа никогаш не се совпаѓа.

Самото генерирање клуч сѐ уште не дозволува ништо. Партнерот мора да биде конфигуриран да го прифати, а чекорот на конфигурација му припаѓа на тој што управува со тој крај.

Тестирајте го парот со вистинска размена

Парот клучеви идентификува еден крај на тунел; тој не создава рута, запис во резолвер, правило за препраќање или дозвола во огнен ѕид. Откако партнерот ќе биде подготвен, тестирајте ја размената, а не датотеката: ракување што се појавува во wg show, адреса што одговара внатре во тунелот и едно барање на апликација што зависи од рутата. Таа тројка го одделува погрешниот клуч од точниот клуч и од патеката што недостасува.

Држете еден идентитет по уред кога распоредувањето го дозволува, за изгубената единица да може да се отповика сама наместо да ги принуди сите повторно да генерираат клучеви. Таа одлука е и она што ја прави постапката за замена подолу безбедна за извршување.

Замена на клуч без празнина

Генерирајте ја замената на уредот, додајте го новиот јавен клуч како дополнителен партнер, потврдете дека носи сообраќај и дури потоа отстранете го стариот. Постапувањето по тој редослед значи тунелот никогаш да нема момент без важечки идентитет, а враќањето е едноставно бришење на записот што штотуку го додадовте.

Задржете ја заменетата приватна датотека додека новиот партнер не биде потврден, потоа намерно уништете ја. Брзиот почеток на WireGuard е референца за самите команди и е доволно краток за да го прочитате целосно пред да започнете.