لومړنی پیل: د WireGuard وسیلو یوې ډلې لپاره ثبت

بورډ له ګډ عکس څخه پیل کیږي، د DHCP اجاره اخلي، او د چمتووالي سکریپټ د دې مخکې چلیږي چې څوک وسیله ولټوي. په دې سکریپټ کې یو ځای باید د WireGuard هغه هویت ترلاسه کړي چې یوازې دې بورډ پورې اړه لري او بل هیڅ ته نه، هغه هویت اجازه ولري، او هغه پروفایل ولیکي چې دروازه به یې ومني. عکس کولای شي د کاروونکي سافټویر، کتل شوی کالب او د دروازې عام کیلي ولېږدوي. هغه څه چې باید هیڅکله یې نه ولېږدوي یوه خصوصي کیلي ده چې ټوله ډله یې شریکه کوي، ځکه دا یوه غلا شوې بورډ د ټولې ډلې پېښه جوړوي. لاندې ترتیب هویت سیمه ییز او اجازه روښانه ساتي.

عکس څه لېږدوي او څه نه

بسته، کالب د ځای نیوونکو سره، د دروازې عام کیلي او د ثبت کاروونکی ولېږه. کالب یوه بڼه ده، نه پټه، او باید د چمتووالي کاروونکي لپاره لوستل کیدونکی وي او هیڅ کیلي مواد پکې نه وي.

خصوصي کیلي په لومړني پیل کې پر وسیله جوړیږي او هیڅکله پرې نه ږدي. یوازې عامه نیمه سفر کوي، د ثبت غوښتنې دننه چې د وسیلې خپلې ادعا پرته د څه بل شي له خوا اجازه ورکول کیږي. همدا توپیر دی چې یوه غلا شوې بورډ د ټولې ډلې ستونزه کیدو مخه نیسي. او همدا هغه برخه ده چې ډېری لومړني پیل سکریپټونه یې غلط کوي.

ګام 1: کیلي په سیمه ییز ډول جوړه کړه

جوړول په خوندي فولډر کې ترسره کړه وروسته له دې چې بنسټیز شبکه یی تړاو تصویب او کار وکړ. فرعي شیل umask بدلون یوازې دې عملیاتو ته سیمه ییز ساتي، او set -C د موجوده فایل د بیا لیکلو څخه انکار کوي:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

د WireGuard چټک پیل هغه د کیلي جوړولو اړیکه مستندوي چې دا دوه حکمونه پرې تکیه کوي. که جوړول پرې شي، وسیله ناثبته پرېږده او کار بهیر دې فایلونه سره سم کړي. یوازې د دې لپاره چې سکریپټ له سره پاک چل شي، موجود هویت مه ړنګوه.

په بیا هڅو کې انتظار کیلي وساته. له هرې لنډمهالې شبکې ناکامۍ وروسته هویت بیا جوړول هماغه لار ده چې ډله له یتیمو peer سره پاتې کیږي چې هیڅوک یې وسیلې سره نه شي نښلولی.

ګام 2: د وسیلې ریکارډ اجازه کړه

فرض کړه چې انبار دا بورډ device-042 بولي او 10.90.0.42/32 ورته ورکوي. د ثبت خدمت باید تایید کړي چې دا غوښتونکی پر هغه ریکارډ حق لري. په فورمې کې ټایپ شوی سیریل شمېره دلیل نه ده، ځکه سیریل شمېرې د بکس باندې چاپیږي.

د هرې وسیلې لپاره بوټسټرېپ اعتبار، د آپریټر تصویب، یا د هارډویر ملاتړ شوې تصدیق کولای شي ادعا ثابته کړي. د غوښتنې بشپړتیا او د ځواب اصالت وساته، او یو ګډ VPN پټ د یو ګډ فابریکې اعتبار سره مه بدله.

ثبت شوی ریکارډ وسیله، د هغې عامه کیلي، ټاکل شوی پته او اجازه ورکړل شوې مدیریت رول تړي. WireGuard پخپله هیڅ د ثبت API نه تعریفوي، نو هغه خدمت هغه څه دي چې ته په قصد جوړوی او چلوی.

ګام 3: دوه سره سمون لرونکي تنظیمات ولیکه

وسیله ته هغه پروفایل ته اړتیا ده چې مدیریت مخکښې ټونل ته روانوي، او دروازې ته هغه peer ننوتنه چې یوازې دې وسیلې خپل سرچینه پته اجازه ورکوي. کله چې دروازه پر 10.90.0.1 وي او د مدیریت شبکه 10.60.0.0/16 وي، د وسیلې اړخ داسې ښکاري:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

په قوسونو کې ارزښتونه ځای نیوونکي دي، نه کیلي. keepalive مهم دی کله چې بورډ د NAT شاته وي او باید لاسرسي وړ پاتې شي؛ دا هر چېرې نه اړین دی، او د عادت له مخې ورزیاتول رادیو بې سببه ویښ ساتي.

پر دروازه، peer ننوتنه په قصد تنګه ده:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

د وسیلې د منزلونو لیست پر دروازه peer مه کاپیه. پر وسیله هغه لیست وایي چې څه ټونل ته روان شي؛ پر دروازه وایي چې دا peer کومې سرچینه پتې کارولی شي، او دا جلا خبرې دي.

لېږدول، د اور دېوال قواعد او د مدیریت شبکې ته د بېرته تګ لار باید لا هم تصویب شوې لاسرسي ته اجازه ورکړي. ثبت شوی peer د هغې شاته هر اپلیکیشن لپاره اجازه نه ده.

ګام 4: ثبت د ژوند دورې حالت په توګه ټینګ کړه

د دروازې ریکارډ او د وسیلې پروفایل د هر تنظیم خاوند له لارې پلي کړه، بیا ثبت یوازې هغه وخت بشپړ نښان کړه چې پام شوې هویت او پته ومنل شي. بیا هڅې باید دوهیم peer یا دوهیمه پته نه ټاکي، بلکې هماغه ریکارډ سره سم کړي.

د پرې شوي چمتووالي لپاره د بېرته راوستلو لار وساته، په شمول هغه حالت چې دروازې کیلي ومنله او وسیلې خپل پروفایل هیڅکله ولیکه نه.

کله چې بورډ بدل شي یا له کاره ووځي، د هغې عامه کیلي او اجازه یوځای لرې کړه. نوې کیلي یو قصد شوی بیا ثبت پېښه ده، د بیا عکس جوړولو ضمني اغېزه نه. د کار ترتیب: سیمه ییز جوړول، د انبار پر وړاندې اجازه، دواړه اړخونه لیکل، حالت ټینګول، بیا د ټونل له لارې یوه مدیریت غوښتنه ازموینه کړه.