Generer eit WireGuard-nøkkelpar lokalt: kommandoar og varsemd

To kommandoar genererer eit WireGuard-nøkkelpar, og begge følgjer med standardverktøya, så denne oppgåva treng ikkje eit nettstad som tilbyr å lage ein nøkkel for deg. Det som går gale, er aldri kurvearitmetikken; det er tillatingsbitane, staden fila landar, og det som deretter blir sendt til den andre enden. Sekvensen nedanfor byrjar i ei tom mappe og endar hos ein motpart som ber trafikk. Les han éin gong før du køyrer han, fordi den første linja berre tel om den neste køyrer i same skal.

Generere paret i eitt skal

Den dokumenterte arbeidsflyten avgrensar filoppretting før den private verdien finst, og leier deretter den offentlege verdien ut frå han. Alle tre linjene høyrer saman i éin skaløkt:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey skriv ein 32-byte privat Curve25519-nøkkel i base64; wg pubkey les han og leier ut den samsvarande offentlege nøkkelen, og tee lagrar den private verdien medan han sender han vidare gjennom røyret. Den rekkjefølgja er grunnen til at tillatingslinja kjem først, og til at innliming av røyrleidninga i ein annan terminal stille mistar han. Filnamna er illustrerande, og det avgjerande er at båe filene landar ein stad den eigande eininga kontrollerer. Viss ei privat fil alt finst med standardtillatingar, rettar chmod 600 privatekey den gjeldande fila og gjer ingenting med kopiar som vart laga tidlegare.

Hald den private halvdelen på éi eining

Den private verdien høyrer på maskinen som skal eige identiteten, i ei mappe som maskinen vernar om og som tryggleikskopiane hans behandlar som ein legitimasjon. Han høyrer ikkje i ei delt mappe, i ei melding til deg sjølv eller i eit utdrag som er vedlagt ei støttesak, og ein innbygd kopi gjer konfigurasjonsfila nøyaktig like følsam som nøkkelen. Ein nøkkel som har budd tre stader kan ikkje gjennomtenkjast seinare, og det er den praktiske grunnen til å halde han på eitt.

Å øydeleggje ei pensjonert fil med vilje er ein del av den same vanen. Å la henne liggje i ei nedlastingsmappe til nokon oppdagar det, er det ikkje.

Kva operatøren til motparten treng frå deg

Den andre sida treng den offentlege verdien og adresseoppsettet operatøren har valt, ikkje noko anna. Send den offentlege strengen gjennom kanalen operatøren ventar, og stadfest deretter kva motpartsoppføring han vart knytt til før nokon testar han, fordi ein riktig nøkkel i feil seksjon feilar på ein måte som ser ut som eit nøkkelproblem. Send han som éi ubroten linje, fordi ein nøkkel broten over to linjer blir lima inn i ei konfigurasjonsfil utan klage og passar deretter aldri.

Å generere ein nøkkel autoriserer ingenting i seg sjølv. Motparten må konfigurerast til å godta han, og konfigurasjonstrinnet høyrer til den som driv den enden.

Test paret med ein ekte utveksling

Eit nøkkelpar identifiserer den eine enden av ein tunnel; det opprettar inga rute, inga oppføring i resolvaren, inga vidaresendingsregel og inga brannmur-tillating. Når motparten er klargjord, test utvekslinga i staden for fila: eit handtrykk som viser seg i wg show, ei adresse som svarar inne i tunnelen, og éin applikasjonsførespurnad som avheng av ruta. Den trio-en skil ein nøkkel som er feil frå ein nøkkel som er riktig og ein sti som manglar.

Hald éin identitet per eining når utrullinga tillèt det, slik at ei tapt eining kan tilbakekallast åleine i staden for å tvinge alle til å generere nøklar på nytt. Den avgjerda er også det som gjer utskiftingsprosedyren nedanfor trygg å køyre.

Bytte ut ein nøkkel utan hol

Generer erstatninga på eininga, legg til den nye offentlege nøkkelen som ein ekstra motpart, stadfest at han ber trafikk, og fjern først då den gamle. Å gjere det i den rekkjefølgja betyr at tunnelen aldri har eit augneblink utan gyldig identitet, og tilbakerullinga er rett og slett å slette oppføringa du nettopp la til.

Hald den erstatta private fila til den nye motparten er stadfesta, og øydelegg henne deretter med vilje. WireGuard-snarstarten er referansen for sjølve kommandoane, og han er kort nok til å lesast i sin heilskap før du byrjar.