सर्व्हर किल्ल्या आणि वापरकर्ता ओळखपत्रांना वेगवेगळे मालक का आवश्यक आहेत

तुमचा गेटवे स्वतःच आहे हे सिद्ध करणारी किल्ली आणि एखादी व्यक्ती सामील होऊ शकते असे सांगणारे ओळखपत्र दोन्ही गुप्त आहेत, आणि साम्य तिथेच संपते। एक प्रत्येक क्लायंटसमोर सेवेची ओळख करून देतो; दुसरे त्या सेवेसमोर एका वापरकर्त्याची ओळख करून देतात। त्यांना मिसळल्यास प्रारंभ करताना एक पायरी वाचते आणि घटनेच्या वेळी अर्धा दिवस जातो, कारण दोन्हींची पुनर्प्राप्ती एकच क्रिया नाही। विभाजन तयार करणे कंटाळवाणे आहे आणि ते वगळणे लक्षात राहते।

दोन गुप्त गोष्टी, दोन वेगळे मालक

गेटवे एक खाजगी किल्ली किंवा प्रमाणपत्र ठेवतो ज्याचे एकमेव काम हस्तांदोलनाच्या वेळी आपली ओळख सिद्ध करणे आहे। क्लायंटना ते पडताळण्यासाठी जुळणारी सार्वजनिक सामग्री आवश्यक असते, आणि त्यांना खाजगी अर्धा भाग कधीही आवश्यक नसतो। हीच असमानता प्रत्येक वापरकर्त्याला सर्व्हरचे रूप धारण करण्याची क्षमता न देता सर्व्हर प्रमाणीकरण शक्य करते।

वापरकर्त्याची सामग्री उलट दिशेने जाते। क्लायंटची खाजगी किल्ली, क्लायंट प्रमाणपत्र किंवा संकेतशब्द हे दर्शवतात की या विशिष्ट व्यक्तीला किंवा उपकरणाला प्रवेश दिला गेला आहे। ते वाटले जाईल, उपकरणांमध्ये प्रत करले जाईल आणि शेवटी रद्द केले जाईल अशी अपेक्षा आहे।

WireGuard विभाजन स्पष्ट करतो कारण प्रत्येक सहभागीाकडे किल्ली-जोडी असते: सर्व्हरची खाजगी किल्ली सर्व्हरवरच राहते, आणि वापरकर्त्याला दिलेल्या संरचना फाइलमध्ये त्याची स्वतःची खाजगी किल्ली आणि सर्व्हरची सार्वजनिक किल्ली असते। सर्व्हरची खाजगी किल्ली असलेली प्रोफाइल हा छोटा मार्ग नाही, तो फाइल सामायिकरणाची वाट पाहणारा तडजोड आहे।

विभाजन ठरवणारे तीन प्रश्न

गुप्त गोष्ट कोण वाचू शकेल, उघड झाल्यास हल्लेखोर काय करू शकेल, आणि उपाय एक रद्द करणे आहे की सेवेची पुनर्बांधणी, हे विचारा।

जर वापरकर्ता ते वाचू शकत असेल आणि ते गेटवेची ओळख सिद्ध करत असेल, तर दुसऱ्या प्रश्नाचे उत्तर असे की हल्लेखोर प्रत्येक क्लायंटसमोर तुमच्या सर्व्हरचे रूप धारण करू शकतो — हा सर्वात वाईट परिणाम, कारण क्लायंट त्या ओळखीवर विश्वास ठेवण्यासाठीच बनवलेले आहेत। जर ते फक्त एका वापरकर्त्याचे सिद्ध करत असेल, तर उघड होणे त्या वापरकर्त्याला एका सहकाऱ्यापर्यंत प्रवेश देते, आणि रद्द करणे ही नित्याची क्रिया आहे। जर ते प्रमाणपत्र प्राधिकरणाची किल्ली असेल, तर उघड होणे दोन्हींपेक्षा वाईट आहे, कारण हल्लेखोर अशा ओळखी तयार करू शकतो ज्यांवर प्रत्येक अंतिम बिंदू विश्वास ठेवतो।

ती तीन उत्तरे साठवण्याचा नियम देतात: CA किल्ली ऑफलाइन किंवा तिजोरीत राहते, गेटवे किल्ली गेटवेवर राहते, आणि वापरकर्ता किल्ल्या वापरकर्त्यांकडे राहतात। सोयीसाठी तिन्ही एका निर्देशिकेत ठेवणारी कोणतीही मांडणी निर्णयाचे अपघातात रूपांतर करते।

क्लायंटला प्रत्यक्षात काय आवश्यक आहे

क्लायंटला सार्वजनिक प्रमाणपत्र किंवा सहकाऱ्याची सार्वजनिक किल्ली, विश्वास ठेवावा लागणारा CA सामग्री किंवा बोटांचा ठसा, स्वतःची खाजगी किल्ली आणि अंतिम बिंदूचे तपशील आवश्यक आहेत। त्या यादीत गेटवेच्या खाजगी ओळखीचे काहीही नाही।

दस्तऐवजीकरण हे गळतीचे ठिकाण आहे। सर्व्हर निर्देशिका प्रत करा आणि नको ते हटवा असे सांगणाऱ्या मार्गदर्शकाने आधीच चुकीचे प्रतिरूप शिकवले आहे, कारण हटवण्याच्या पायरीनंतर उरलेली फाइल क्वचितच कोणी तपासते।

गेटवेला हात न लावता एक वापरकर्ता रद्द करा

वापरकर्त्याच्या ओळखी वेगळ्या पद्धतीने जारी केल्या जातात, म्हणून त्या वेगळ्या पद्धतीने मागे घेतल्या जाऊ शकतात। प्रमाणपत्राधारित तैनाती क्लायंट प्रमाणपत्र रद्द करते आणि अद्ययावत रद्दीकरण यादी प्रकाशित करते; WireGuard तैनाती सर्व्हर संरचनेतून सहकाऱ्याची नोंद काढून टाकते। यापैकी कोणतीही क्रिया गेटवेची स्वतःची किल्ली बदलत नाही।

जारी करण्याची नोंद ठेवा, अन्यथा कोणती ओळख मागे घ्यायची हे कळणार नाही। स्प्रेडशीट पुरते, जर त्यात व्यक्ती, उपकरण, क्रमांक किंवा सार्वजनिक किल्ली आणि तारीख नमूद असेल, आणि ते बनवणारी व्यक्ती गेल्यानंतरही कोणी त्याची देखभाल करत असेल।

खालील आदेश क्लायंट प्रमाणपत्र तपासतात आणि नंतर OpenSSL शैलीच्या प्राधिकरणाद्वारे ते रद्द करतात, easy-rsa हाच प्रवाह गुंडाळते:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

नवीन यादी तिथे प्रकाशित करा जिथे क्लायंट ती तपासतात, अन्यथा रद्दीकरण हे काहीही बदलत नसलेल्या फाइलमधील टीप आहे। तुमचा गेटवे रद्दीकरण यादी न पाहता क्लायंट प्रमाणपत्रे स्वीकारत असेल, तर रद्दीकरण चालते असे सुचवण्याऐवजी ते स्पष्ट सांगा।

बॅकअप गुप्त गोष्टींइतकेच वेगळे ठेवा

पुनर्बांधणी संग्रहात गेटवे किल्ली आणि CA सामग्री वैधपणे असते, कारण त्यांशिवाय पुनर्संचयन सेवा पुन्हा निर्माण करू शकत नाही। क्लायंट प्रारंभ संचामध्ये ती नसावी, आणि दोन्ही एकत्र साठवू नयेत। प्रत्येक संग्रहावर कोण ठेवू शकतो यावरून लेबल लावा, बनवल्याच्या तारखेवरून नाही। थकलेला प्रशासक रात्री दोन वाजता तेच लेबल वाचतो।

हा फरक प्रत्येकजण कोण घेऊ शकतो हेही ठरवतो। गेटवेचे प्रशासन, वापरकर्ता ओळखी जारी करणे आणि बॅकअप वाचणे या तीन वेगळ्या अधिकार असून ज्याला एकाची गरज आहे त्याला इतर आपोआप लागत नाहीत। त्या परवानग्या लिहून ठेवा, नंतर तुमचे साठवण प्रत्यक्षात काय परवानगी देते याशी त्या तपासा, कारण निर्देशिका वारसा धोरणाच्या हेतूपेक्षा अधिक शांतपणे देतो।