Jana pasangan kunci WireGuard secara setempat: arahan dan kejagaan

Dua arahan menjana pasangan kunci WireGuard dan kedua-duanya datang bersama alat standard, jadi tugas ini tidak memerlukan laman web yang menawarkan untuk membuat kunci bagi anda. Yang rosak bukanlah aritmetik lengkung; yang rosak ialah bit kebenaran, tempat fail itu mendarat, dan apa yang kemudian dihantar ke hujung sana. Urutan di bawah bermula dalam direktori kosong dan berakhir pada rakan setara yang membawa trafik. Bacalah sekali sebelum menjalankannya, kerana baris pertama hanya penting jika baris seterusnya berjalan dalam shell yang sama.

Menjana pasangan dalam satu shell

Aliran kerja yang didokumenkan mengehadkan penciptaan fail sebelum nilai peribadi wujud, kemudian memperoleh nilai awam daripadanya. Ketiga-tiga baris tergolong bersama dalam satu sesi shell:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey menulis kunci peribadi Curve25519 32 bait dalam base64; wg pubkey membacanya dan memperoleh kunci awam yang sepadan, dan tee menyimpan nilai peribadi sambil menyalurkannya ke bawah paip. Urutan itulah sebabnya baris kebenaran datang dahulu, dan sebabnya menampal saluran paip ke terminal kedua diam-diam kehilangannya. Nama fail adalah ilustratif, dan yang penting ialah kedua-dua fail mendarat di tempat yang dikawal oleh peranti pemiliknya. Jika fail peribadi sudah wujud dengan kebenaran lalai, chmod 600 privatekey membaiki fail semasa dan tidak melakukan apa-apa terhadap salinan yang dibuat lebih awal.

Simpan separuh peribadi pada satu peranti

Nilai peribadi milik mesin yang akan memiliki identiti itu, dalam direktori yang dilindungi mesin tersebut dan yang dianggap oleh sandarannya sebagai kelayakan. Ia tidak tergolong dalam folder kongsi, dalam mesej kepada diri sendiri atau dalam petikan yang dilampirkan pada tiket sokongan, dan salinan terbenam menjadikan fail konfigurasi sama sensitifnya dengan kunci. Kunci yang pernah hidup di tiga tempat tidak boleh difikirkan semula kemudian, dan itulah sebab praktikal menyimpannya di satu tempat.

Memusnahkan fail yang telah bersara secara sengaja adalah sebahagian daripada tabiat yang sama. Membiarkannya dalam folder muat turun sehingga seseorang menyedarinya bukan.

Apa yang operator rakan setara perlukan daripada anda

Pihak lain memerlukan nilai awam dan susunan alamat yang dipilih oleh operatornya, tidak lebih. Hantarkan rentetan awam itu melalui saluran yang dijangka oleh operator, kemudian sahkan entri rakan setara mana ia dilampirkan sebelum sesiapa mengujinya, kerana kunci yang betul dalam bahagian yang salah gagal dengan cara yang kelihatan seperti masalah kunci. Hantarkannya sebagai satu baris tanpa lipatan, kerana kunci yang terpotong pada dua baris tertampal ke dalam fail konfigurasi tanpa aduan dan kemudian tidak pernah sepadan.

Menjana kunci tidak memberi kuasa apa-apa dengan sendirinya. Rakan setara mesti dikonfigurasikan untuk menerimanya, dan langkah konfigurasi itu milik sesiapa yang mengendalikan hujung tersebut.

Uji pasangan dengan pertukaran sebenar

Pasangan kunci mengenal pasti satu hujung terowong; ia tidak mencipta laluan, entri penyelesai, peraturan pemajuan atau kebenaran firewall. Selepas rakan setara disediakan, uji pertukaran itu dan bukan fail: jabat tangan yang muncul dalam wg show, alamat yang menjawab di dalam terowong, dan satu permintaan aplikasi yang bergantung pada laluan. Tiga serangkai itu memisahkan kunci yang salah daripada kunci yang betul dan laluan yang hilang.

Simpan satu identiti bagi setiap peranti apabila penggunaan membenarkannya, supaya unit yang hilang boleh dibatalkan sendiri daripada memaksa semua orang menjana semula kunci. Keputusan itu juga yang menjadikan prosedur penggantian di bawah selamat dijalankan.

Menggantikan kunci tanpa jurang

Jana pengganti pada peranti, tambah kunci awam baharu sebagai rakan setara tambahan, sahkan ia membawa trafik, dan hanya kemudian buang yang lama. Melakukannya dalam urutan itu bermakna terowong tidak pernah mempunyai detik tanpa identiti yang sah, dan pengunduran hanyalah memadam entri yang baru anda tambah.

Simpan fail peribadi yang digantikan sehingga rakan setara baharu disahkan, kemudian musnahkannya dengan sengaja. Permulaan pantas WireGuard ialah rujukan untuk arahan itu sendiri, dan ia cukup pendek untuk dibaca sepenuhnya sebelum anda bermula.