पहिल्या बूटवर WireGuard उपकरणांच्या ताफ्यासाठी नोंदणी

बोर्ड सामाईक इमेजमधून बूट होतो, DHCP भाडेपट्टा मिळवतो, आणि कोणीही उपकरणाला स्पर्श करण्यापूर्वी प्रोव्हिजनिंग स्क्रिप्ट चालते. त्या स्क्रिप्टमध्ये कुठेतरी तिला अशी WireGuard ओळख मिळवावी लागते जी या बोर्डाची आहे आणि दुसऱ्या कोणाची नाही, ती ओळख अधिकृत करून घ्यावी लागते, आणि गेटवे स्वीकारेल अशी प्रोफाइल लिहावी लागते. इमेज क्लायंट सॉफ्टवेअर, पुनरावलोकित टेम्पलेट आणि गेटवेची सार्वजनिक किल्ली वाहू शकते. जे तिने कधीही वाहू नये ते म्हणजे संपूर्ण ताफा सामाईक वापरत असलेली एकच खाजगी किल्ली, कारण त्यामुळे चोरलेला एक बोर्ड संपूर्ण ताफ्याची घटना बनतो. खालील क्रम ओळख स्थानिक आणि अधिकृतता स्पष्ट ठेवतो.

इमेज काय वाहते, आणि काय नाही

पॅकेज, प्लेसहोल्डरसह टेम्पलेट, गेटवेची सार्वजनिक किल्ली आणि नोंदणी क्लायंट पाठवा. टेम्पलेट एक आकार आहे, गुपित नाही: ते प्रोव्हिजनिंग वापरकर्त्यासाठी वाचनीय असावे आणि त्यात कोणतेही किल्ली साहित्य नसावे.

खाजगी किल्ली पहिल्या बूटवर उपकरणावरच तयार होते आणि ती कधीही ते सोडत नाही. फक्त सार्वजनिक अर्धा भाग प्रवास करतो, उपकरण स्वतः कोण आहे याबद्दलच्या स्वतःच्या दाव्याशिवाय दुसऱ्या कशाने तरी अधिकृत होणाऱ्या नोंदणी विनंतीच्या आत. हाच फरक चोरलेला बोर्ड संपूर्ण ताफ्याची समस्या बनण्यापासून थांबवतो. आणि हाच भाग बहुतेक पहिल्या-बूट स्क्रिप्ट चुकीने करतात.

टप्पा 1: किल्ली स्थानिकपणे तयार करा

अंतर्निहित नेटवर्क कनेक्शन मंजूर होऊन कार्यरत झाल्यानंतर संरक्षित डिरेक्टरीमध्ये निर्मिती चालवा. सबशेल umask बदल या कृतीपुरताच स्थानिक ठेवते, आणि set -C विद्यमान फाइलवर पुन्हा लिहिण्यास नकार देते:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard झटपट सुरुवात या दोन आदेशांवर अवलंबून असलेल्या किल्ली-निर्मिती संबंधाचे दस्तऐवजीकरण करते. निर्मिती व्यत्ययित झाल्यास उपकरण अनोंदणीकृत ठेवा आणि वर्कफ्लोने फाइली जुळवून घ्याव्यात. स्क्रिप्ट सुरुवातीपासून स्वच्छ चालावी यासाठी विद्यमान ओळख हटवू नका.

पुनःप्रयत्नांच्या दरम्यान प्रलंबित किल्ली जतन करा. प्रत्येक तात्पुरत्या नेटवर्क अयशस्वीतेनंतर ओळख पुन्हा तयार करणे हाच ताफ्याकडे असे अनाथ peer राहण्याचा मार्ग आहे ज्यांना कोणीही उपकरणाशी जोडू शकत नाही.

टप्पा 2: उपकरण नोंदीला अधिकृत करा

समजा इन्व्हेंटरी या बोर्डाला device-042 म्हणते आणि त्याला 10.90.0.42/32 नेमते. नोंदणी सेवेने पडताळले पाहिजे की या विनंतीकर्त्याला त्या नोंदीचा हक्क आहे. फॉर्ममध्ये टाइप केलेला अनुक्रमांक पुरावा नाही, कारण अनुक्रमांक खोक्याच्या बाहेर छापलेले असतात.

प्रति-उपकरण बूटस्ट्रॅप क्रेडेन्शियल, ऑपरेटरची मंजुरी, किंवा हार्डवेअर-आधारित सत्यापन हे दावा प्रस्थापित करू शकतात. विनंतीची अखंडता आणि प्रतिसादाची प्रामाणिकता संरक्षित करा, आणि एक सामाईक VPN गुपित एका सामाईक कारखाना क्रेडेन्शियलने बदलू नका.

नोंदणीकृत नोंद उपकरण, त्याची सार्वजनिक किल्ली, नेमलेला पत्ता आणि परवानगी दिलेली व्यवस्थापन भूमिका बांधते. WireGuard स्वतः कोणतेही नोंदणी API परिभाषित करत नाही, म्हणून ती सेवा ही अशी गोष्ट आहे जी तुम्ही जाणीवपूर्वक तयार करता आणि चालवता.

टप्पा 3: जुळणारी दोन कॉन्फिगरेशन लिहा

उपकरणाला अशी प्रोफाइल हवी जी व्यवस्थापन प्रीफिक्स टनेलमध्ये रूट करते, आणि गेटवेला अशी peer नोंद हवी जी केवळ या उपकरणाच्या स्वतःच्या स्रोत पत्त्याला परवानगी देते. गेटवे 10.90.0.1 वर आणि व्यवस्थापन नेटवर्क 10.60.0.0/16 असताना उपकरणाची बाजू अशी दिसते:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

कंसातील मूल्ये प्लेसहोल्डर आहेत, किल्ल्या नाहीत. बोर्ड NAT मागे असेल आणि पोहोचण्यायोग्य राहावे लागेल तेव्हा keepalive महत्त्वाचे आहे; ते सर्वत्र आवश्यक नाही, आणि सवयीने जोडल्यास रेडिओ विनाकारण जागा राहतो.

गेटवेवर, peer नोंद हेतुपुरस्पर संकुचित आहे:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

उपकरणाची गंतव्य सूची गेटवे peer वर कॉपी करू नका. उपकरणावर ती सूची टनेलमध्ये काय रूट करायचे ते सांगते; गेटवेवर ती या peer ला कोणते स्रोत पत्ते वापरता येतील ते सांगते, आणि ही वेगळी विधाने आहेत.

फॉरवर्डिंग, फायरवॉल नियम आणि व्यवस्थापन नेटवर्ककडे परतीचा मार्ग यांनी अजूनही मंजूर प्रवेशास परवानगी दिली पाहिजे. नोंदणीकृत peer त्याच्या मागील प्रत्येक अनुप्रयोगासाठी परवानगी नाही.

टप्पा 4: नोंदणी जीवनचक्र स्थिती म्हणून स्थापित करा

प्रत्येक कॉन्फिगरेशनच्या मालकामार्फत गेटवे नोंद आणि उपकरण प्रोफाइल लागू करा, नंतर इच्छित ओळख आणि पत्ता स्वीकारल्यावरच नोंदणी पूर्ण म्हणून चिन्हांकित करा. पुनःप्रयत्नांनी दुसरा peer किंवा दुसरा पत्ता नेमण्याऐवजी तीच नोंद जुळवावी.

व्यत्ययित प्रोव्हिजनिंगसाठी पुनर्प्राप्ती मार्ग ठेवा, ज्यात गेटवेने किल्ली स्वीकारली पण उपकरणाने कधीही आपली प्रोफाइल लिहिली नाही असा प्रसंगही समाविष्ट आहे.

बोर्ड बदलला किंवा निवृत्त झाला तर त्याची सार्वजनिक किल्ली आणि त्याची अधिकृतता एकत्र काढून टाका. नवीन किल्ली ही जाणीवपूर्वक पुनर्नोंदणी घटना आहे, रीइमेजचा दुष्परिणाम नाही. कार्यक्रम: स्थानिकपणे तयार करा, इन्व्हेंटरीविरुद्ध अधिकृत करा, दोन्ही बाजू लिहा, स्थिती स्थापित करा, नंतर टनेलमधून एक व्यवस्थापन विनंती तपासा.