Эхний ачаалалт: WireGuard төхөөрөмжүүдийн флотыг бүртгэх

Нэг образ, самбар бүрт нэг түлхүүр, төхөөрөмжийн өөрийнх нь мэдэгдэлд итгэдэггүй зөвшөөрлийн алхам. Ачаалалтаас баталгаажсан peer хүртэл дөрвөн үе.

Самбар нийтлэг образоос ачаалж, DHCP түрээс авч, хэн ч төхөөрөмжид хүрэхээс өмнө бэлтгэлийн скрипт ажиллана. Тэр скриптийн хаа нэгтээ энэ самбарт хамаарах бөгөөд өөр хэнд ч хамаарахгүй WireGuard таних тэмдэг олж, тэр таних тэмдгийг зөвшөөрүүлж, гарц хүлээн авах профайл бичих ёстой. Образ клиентийн программ хангамж, хянасан загвар, гарцын нийтийн түлхүүрийг агуулж болно. Хэзээ ч агуулж болохгүй зүйл бол бүх флот хуваалцдаг нэг хувийн түлхүүр, учир нь энэ нь хулгайлагдсан нэг самбарыг бүх флотын хэрэг болгоно. Доорх дараалал нь таних тэмдгийг локал, зөвшөөрлийг тодорхой байлгана.

Образ юу агуулдаг, юу агуулдаггүй

Багц, орлуулагчтай загвар, гарцын нийтийн түлхүүр, бүртгэлийн клиентийг илгээнэ. Загвар бол хэлбэр, нууц биш: энэ нь бэлтгэлийн хэрэглэгчид уншигдахуйц байх ёстой бөгөөд ямар ч түлхүүрийн материал агуулахгүй байх ёстой.

Хувийн түлхүүр эхний ачаалалтад төхөөрөмж дээр үүсдэг бөгөөд хэзээ ч түүнийг орхихгүй. Зөвхөн нийтийн хагас нь аялдаг, төхөөрөмжийн өөрийнх нь хэн болох тухай мэдэгдлээс өөр зүйлээр зөвшөөрөгддөг бүртгэлийн хүсэлтийн дотор. Энэ ялгаа нь хулгайлагдсан самбарыг бүх флотын асуудал болохоос сэргийлдэг. Мөн энэ нь ихэнх эхний ачаалалтын скриптүүд буруу хийдэг хэсэг юм.

1-р алхам: түлхүүрийг локал үүсгэх

Үүсгэлтийг үндсэн сүлжээний холболт зөвшөөрөгдөж ажилласны дараа хамгаалагдсан хавтаст гүйцэтгэнэ. Дэд бүрхүүл umask өөрчлөлтийг энэ үйлдэлд локал байлгаж, set -C байгаа файлыг дарж бичихээс татгалзана:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard хурдан эхлэл нь эдгээр хоёр командад тулгуурладаг түлхүүр үүсгэлтийн хамаарлыг баримтжуулна. Хэрэв үүсгэлт тасалдвал төхөөрөмжийг бүртгэлгүй орхиж, ажлын урсгал файлуудыг зохицуулаарай. Скрипт эхнээс цэвэр ажиллахын тулд л байгаа таних тэмдгийг бүү устга.

Хүлээгдэж буй түлхүүрийг дахин оролдлогын хооронд хадгална. Түр зуурын сүлжээний алдаа бүрийн дараа таних тэмдгийг дахин үүсгэх нь флотыг хэн ч төхөөрөмжтэй холбож чадахгүй өнчин peer-үүдтэй үлдээх арга юм.

2-р алхам: төхөөрөмжийн бүртгэлийг зөвшөөрөх

Бараа материал энэ самбарыг device-042 гэж нэрлэж, түүнд 10.90.0.42/32 хуваарилдаг гэж үзье. Бүртгэлийн үйлчилгээ энэ хүсэлт гаргагч тэр бүртгэлд эрхтэй эсэхийг шалгах ёстой. Маягтад бичсэн серийн дугаар нотолгоо биш, учир нь серийн дугаарыг хайрцгийн гадна талд хэвлэдэг.

Төхөөрөмж тус бүрийн анхны итгэмжлэл, операторын зөвшөөрөл эсвэл техник хангамжаар дэмжигдсэн аттестаци нь мэдэгдлийг тогтоож чадна. Хүсэлтийн бүрэн бүтэн байдал, хариултын жинхэнэ байдлыг хамгаалж, нэг хуваалцсан VPN нууцыг нэг хуваалцсан үйлдвэрийн итгэмжлэлээр бүү соль.

Бүртгэгдсэн бичлэг нь төхөөрөмж, түүний нийтийн түлхүүр, олгосон хаяг, зөвшөөрөгдсөн удирдлагын үүргийг холбодог. WireGuard өөрөө бүртгэлийн API тодорхойлдоггүй тул тэр үйлчилгээ нь таны санаатайгаар бүрдүүлж ажиллуулдаг зүйл юм.

3-р алхам: хоёр тохирох тохиргоо бичих

Төхөөрөмжид удирдлагын префиксүүдийг туннельд чиглүүлэх профайл хэрэгтэй, гарцад зөвхөн энэ төхөөрөмжийн өөрийн эх хаягийг зөвшөөрдөг peer бичлэг хэрэгтэй. Гарц 10.90.0.1 дээр, удирдлагын сүлжээ 10.60.0.0/16 байхад төхөөрөмжийн тал ийм харагдана:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

Хаалтны доторх утгууд нь орлуулагч, түлхүүр биш. keepalive нь самбар NAT-ын ард байж хүрч болохоор үлдэх шаардлагатай үед чухал; энэ нь хаа сайгүй шаардлагагүй бөгөөд зуршлаар нэмэх нь радиог шалтгаангүйгээр сэрээж байна.

Гарц дээр peer бичлэг санаатайгаар нарийн:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

Төхөөрөмжийн очих газрын жагсаалтыг гарцын peer бичлэг рүү бүү хуул. Төхөөрөмж дээр тэр жагсаалт туннельд юу чиглүүлэхийг хэлнэ; гарц дээр энэ peer ямар эх хаяг ашиглаж болохыг хэлнэ, эдгээр нь өөр мэдэгдэл юм.

Дамжуулалт, галт хананы дүрэм, удирдлагын сүлжээ рүү буцах зам нь зөвшөөрөгдсөн хандалтыг одоо ч зөвшөөрөх ёстой. Бүртгэгдсэн peer нь түүний ард байгаа програм бүрийн зөвшөөрөл биш.

4-р алхам: бүртгэлийг амьдралын мөчлөгийн төлөв болгон тогтоох

Гарцын бичлэг болон төхөөрөмжийн профайлыг тохиргоо бүрийн эзэмшигчээр дамжуулан хэрэглэж, дараа нь зорьсон таних тэмдэг, хаяг хүлээн авагдсан үед л бүртгэлийг дууссан гэж тэмдэглэнэ. Дахин оролдлого нь хоёр дахь peer эсвэл хоёр дахь хаяг хуваарилахын оронд мөн тэр бичлэгийг зохицуулах ёстой.

Тасалдсан бэлтгэлд сэргээх зам хадгална, үүнд гарц түлхүүрийг хүлээн авсан боловч төхөөрөмж профайлаа хэзээ ч бичээгүй тохиолдлыг оруулна.

Самбарыг солих эсвэл ашиглалтаас гаргах үед түүний нийтийн түлхүүр болон зөвшөөрлийг хамт устгана. Шинэ түлхүүр бол санаатай дахин бүртгэлийн үйл явдал, дүрс дахин бичих хажуугийн нөлөө биш. Ажлын дараалал: локал үүсгэх, бараа материалтай тулгаж зөвшөөрөх, хоёр талыг бичих, төлөвийг тогтоох, дараа нь туннелээр дамжуулан нэг удирдлагын хүсэлтийг шалгах.

Холбоотой нийтлэлүүд