ESP32 дээрх WireGuard түлхүүрүүд: төхөөрөмж бүрд өөр үү, нэг суулгасан уу?

Скиз WireGuard-ийн хувийн түлхүүрийг тэмдэгтийн массивт хийж, туннель ажилладаг, тиймээс энэ асуулт дахин дахин гардаг. Таны үнэхээр гаргах шийдвэр «энэ аюулгүй юу» биш, харин «гурван нөхцлийн аль нь энэ байршуулалтад хамаарах вэ» гэдэг юм. Тэдгээр нь: төхөөрөмжийг биечлэн хэн барьж чадах, таны хэсэгт флаш уншихад юу гарах, парк нэг түлхүүр хуваалцах уу эсвэл тус бүр өөрийгөө авч явах уу. Эдгээрт хариулбал загвар өөрөө дагана, учир нь нөхцөл бүр түлхүүр алдагдах боломж гэдэг баримтыг биш, алдагдсан түлхүүрийн өртгийг өөрчилдөг.

Түлхүүр юуг зөвшөөрдөг

WireGuard хамтрагчдыг нийтийн түлхүүрээр баталгаажуулдаг. Сервер хамтрагч бүрийн нийтийн түлхүүрийг хаяг болон AllowedIPs жагсаалттай холбодог, тиймээс хувийн түлхүүр нь клиентэд тэр хаягаас трафик илгээх боломж олгодог.

Мөн энэ бичлэг төхөөрөмж ямар очих газарт хүрч чадахад шийдвэрлэх тул алдагдсан түлхүүр туннелийн ард байгаа сүлжээ болон туннелийн хаягийг илчилнэ.

Нэгдүгээр нөхцөл: төхөөрөмжийг хэн барьж чадах

Хэрэв нэгж түгжигдсэн шүүгээнд байгаа бөгөөд танай багаас гадна хэн ч хүрэхгүй бол эрсдэл нь голчлон firmware түгээлтийн асуудал. Хэрэв үйлчлүүлэгчдэд илгээгддэг, тээврийн хэрэгсэлд байдаг эсвэл баталгаагаар буцаж ирдэг бол биеийн эзэмшил нь итгэмжлэл, хоёртын файлын нууцлал нь хоёрдогч юм. Төхөөрөмжийг гартаа барьсан хүн түлхүүрийг унших шаардлагагүй, учир нь ажиллаж байгаа firmware түүнд туннелийг нээж өгнө. Тиймээс серверийн талын хариултад зөвхөн хамгаалагдсан дүрс биш, цуцлалт болон хязгаарлагдмал хугацаа байх ёстой.

Энэ нөхцлийг бусад хоёроос өмнө шийд, учир нь энэ хоёуланд нь төсөв тогтоодог.

Хоёрдугаар нөхцөл: флаш уншихад юу гарах

Флаш дүрсийг уншиж чадсан хэн ч литерал хэлбэрээр хадгалсан түлхүүрийг сэргээнэ — дибаг холболт, шинэчлэлтийн файл, нөөц хуулбар эсвэл буцаж ирсэн нэгжээр дамжуулан. Флаш шифрлэлт шууд дампын өртгийг нэмэгдүүлдэг бөгөөд ESP-IDF-ийн баримт бичиг тухайн эд анги, тохиргоонд энэ боломж юуг хамарч байгааг тайлбарладаг. Энэ нь түлхүүрийг бүх халдлагын загварт гаргах боломжгүй болгодоггүй бөгөөд төхөөрөмж гарт байгаа тохиолдолд юу ч хийдэггүй. Үүнийг өртгийг өөрчилдөг нэг давхарга гэж үзээрэй, хариулт гэж биш.

Загварын хяналтад ямар нэг шинж чанар батлахаасаа өмнө өөрийн яг чип, тохиргооны платформын баримт бичгийг унш.

Гуравдугаар нөхцөл: бүх паркад дахин ашиглалт

Үйлдвэрлэлийн цувралд нэг түлхүүр гэдэг нь нэгж бүр нэг таних тэмдэг хуваалцна гэсэн үг. Сервер тэдгээрийг логт ялгаж чадахгүй, бүгдийг цуцлахгүйгээр нэгийг цуцалж чадахгүй, мөн клоныг эх хувилбараас ялгаж чадахгүй. Төхөөрөмж бүрийн түлхүүр гурвыг бүгдийг шийднэ, үнэ нь бүртгэлийн алхам болон серийн дугаарыг нийтийн түлхүүртэй тааруулах. Тэр тааруулга нь цуцлалтыг бүх паркийг дахин флашлахын оронд нэг мөрийн өөрчлөлт болгодог хөрөнгө юм.

Хэрэв парк ширээн дээрх таван нэгж бол түлхүүр хуваалцах нь боломжийн солилцоо байж болно. Хэрэв талбайд таван зуу бол энэ нь огт солилцоо биш.

Төхөөрөмж бүрийн түлхүүрийг практик болгодог бүртгэлийн загвар

Эхний ачаалалтад төхөөрөмж дээр түлхүүрийн хос үүсгэж, хувийн хагасыг хамгаалагдсан тогтворгүй санах ойд хадгал, зөвхөн нийтийн түлхүүрийг хаяг олгож, хамтрагчийн бичлэг бичдэг бүртгэлийн үйлчилгээнд илгээ. Бүртгэлийн хариуг баталгаажуул, эс бөгөөс орон нутгийн сүлжээний халдагч өөрийн түлхүүрийг таны бүртгэлд бүртгүүлж чадна. Бэлтгэлийн үеэр хувийн түлхүүрийг серийн консолд хэзээ ч бүү хэвлэ. Төхөөрөмжийн серийн дугаарыг нийтийн түлхүүрийн хажууд бич, алдагдсан нэгж яг нэг хамтрагчийн бичлэгт тохирохын тулд.

Энэ бол жижиг үйлчилгээ бөгөөд таны аудит хийж чадах парк болон зөвхөн дахин флашлаж чадах паркийн ялгаа нь энэ юм.

Цаг хугацаа, төгсгөлийн цэгүүд ба шийдвэр

Жишээ нь туннель эхлэхээс өмнө цагийг синхрончилдог бөгөөд энэ нь TLS-ээс гадна чухал: WireGuard-ийн гар барилт нь давталтаас хамгаалах цагийн тэмдэг агуулдаг тул буруу цагтай ачаалсан төхөөрөмжийн гар барилт татгалзагдаж болно. Төгсгөлийн цэг нь хостны нэр бөгөөд серверийн нийтийн түлхүүр хамтрагчийг баталгаажуулсаар байгаа ч энэ нь DNS-ийг итгэлийн замд оруулдаг. Буруу хаяг оролдлогуудыг үрэгдүүлж, төхөөрөмж хэзээ онлайн байгааг илчилнэ. Түлхүүрийн талаар маргахаасаа өмнө хоёуланг нь шийд.

Дараа нь шийд: хуваалцсан түлхүүр зөвхөн эзэмшил хяналтад, парк жижиг байх хугацаанд, төхөөрөмж бүрийн түлхүүр эдгээрийн аль нэг нь үнэн байхаа болих тэр мөчөөс.