Iġġenera par ta’ ċwievet WireGuard lokalment: kmandi u attenzjoni

Żewġ kmandi jiġġeneraw par ta’ ċwievet WireGuard u t-tnejn jiġu mal-għodod standard, għalhekk dan ix-xogħol m’għandux bżonn sit li joffri li jagħmel ċavetta għalik. Dak li jinqered qatt mhu l-aritmetika tal-kurva; huma l-bits tal-permessi, il-post fejn jinżel il-fajl, u dak li mbagħad jintbagħat lit-tarf l-ieħor. Is-sekwenza hawn taħt tibda f’direttorju vojt u tintemm għand pari li jġorr it-traffiku. Aqrah darba qabel ma tmexxih, għax l-ewwel linja għandha tifsira biss jekk dik li jmiss taħdem fl-istess qoxra.

Il-ġenerazzjoni tal-par f’qoxra waħda

Il-fluss tax-xogħol iddokumentat jillimita l-ħolqien ta’ fajls qabel ma jeżisti l-valur privat, u mbagħad jiddedudi l-valur pubbliku minnu. It-tliet linji jappartjenu flimkien f’sessjoni waħda tal-qoxra:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey jikteb ċavetta privata Curve25519 ta’ 32 byte f’base64; wg pubkey jaqraha u jiddedudi ċ-ċavetta pubblika li taqbel, u tee jaħżen il-valur privat waqt li jgħaddih ’l isfel mal-pajp. Dan l-ordni hu r-raġuni għaliex il-linja tal-permessi tiġi l-ewwel, u għaliex it-twaħħil tal-pipeline fit-tieni terminal jitlefha bil-kwiet. L-ismijiet tal-fajls huma illustrattivi, u dak li hu importanti hu li ż-żewġ fajls jinżlu f’post li jikkontrollah il-mezz proprjetarju. Jekk fajl privat diġà jeżisti bil-permessi prestabbiliti, chmod 600 privatekey isewwi l-fajl attwali u ma jagħmel xejn dwar kopji magħmula qabel.

Żomm in-nofs privat fuq mezz wieħed

Il-valur privat jappartjeni lill-magna li se jkollha l-identità, f’direttorju li dik il-magna tipproteġi u li l-kopji tar-restawr tagħha jittrattawh bħala aċċertament. Ma jappartjenix f’folder maqsum, fi messaġġ lilu nnifsu jew fi snippet imwaħħal ma’ ticket ta’ appoġġ, u kopja inkorporata tagħmel il-fajl tal-konfigurazzjoni eżattament sensittiv daqs iċ-ċavetta. Ċavetta li għexet fi tliet postijiet ma tistax tiġi raġunata aktar tard, u din hija r-raġuni prattika biex tinżamm f’wieħed.

Il-qerda deliberata ta’ fajl irtirat hija parti mill-istess drawwa. Li tħallih f’folder tat-tniżżil sakemm xi ħadd jinduna mhijiex.

X’jeħtieġ l-operatur tal-pari mingħandek

In-naħa l-oħra teħtieġ il-valur pubbliku u l-arranġament tal-indirizzi li għażel l-operatur tagħha, xejn ieħor. Ibgħat dik is-sekwenza pubblika bil-kanal li jistenna l-operatur, imbagħad ikkonferma l-liema entrata tal-pari tħabbret miegħu qabel ma xi ħadd jittestjah, għax ċavetta korretta fit-taqsima żbaljata tfalli b’mod li jidher bħala problema taċ-ċavetta. Ibgħatha bħala linja waħda mhux mitwija, għax ċavetta maqsuma fuq żewġ linji titwaħħal fil-fajl tal-konfigurazzjoni mingħajr ilment u mbagħad qatt ma taqbel.

Il-ġenerazzjoni ta’ ċavetta ma tawtorizza xejn waħedha. Il-pari għandu jiġi kkonfigurat biex jaċċettaha, u l-pass tal-konfigurazzjoni jappartjeni lil min imexxi dak it-tarf.

Ittestja l-par b’skambju reali

Par ta’ ċwievet jidentifika tarf wieħed ta’ mina; ma joħloqx rotta, entrata ta’ solver, regola ta’ trażmissjoni jew permess tal-firewall. Wara li l-pari jiġi pprovdut, ittestja l-iskambju mhux il-fajl: handshake li jidher f’wg show, indirizz li jwieġeb ġewwa l-mina, u talba waħda ta’ applikazzjoni li tiddependi mir-rotta. Dak it-tliet jifred ċavetta żbaljata minn ċavetta tajba u minn mogħdija nieqsa.

Żomm identità waħda għal kull mezz meta l-varar jippermettih, sabiex unità mitlufa tkun tista’ tiġi revokata waħedha minflok ma ġġiegħel lil kulħadd jerġa’ jiġġenera ċwievet. Dik id-deċiżjoni hija wkoll dik li tagħmel il-proċedura ta’ sostituzzjoni hawn taħt sikura biex titmexxa.

Sostituzzjoni ta’ ċavetta mingħajr vojt

Iġġenera s-sostitut fuq il-mezz, żid iċ-ċavetta pubblika l-ġdida bħala pari addizzjonali, ikkonferma li jġorr it-traffiku, u biss imbagħad neħħi l-qadima. Li tagħmel dan f’dak l-ordni jfisser li l-mina qatt ma jkollha mument mingħajr identità valida, u r-riroll huwa sempliċement tħassir tal-entrata li għadek kemm żidt.

Żomm il-fajl privat sostitwit sakemm jiġi kkonfermat il-pari l-ġdid, imbagħad eqirdu apposta. Il-bidu malajr ta’ WireGuard huwa r-referenza għall-kmandi stess, u huwa qasir biżżejjed biex taqrah kollu qabel ma tibda.