Generați o pereche de chei WireGuard local: comenzi și grijă

Două comenzi generează o pereche de chei WireGuard și ambele vin cu instrumentele standard, așa că această sarcină nu are nevoie de un site care să ofere să creeze o cheie pentru dumneavoastră. Ceea ce se strică nu este niciodată aritmetica curbei; sunt biții de permisiuni, locul unde ajunge fișierul și ceea ce este trimis apoi la celălalt capăt. Secvența de mai jos începe într-un director gol și se termină la un partener care transportă trafic. Citiți-o o dată înainte de a o rula, pentru că prima linie contează doar dacă următoarea rulează în același shell.

Generarea perechii într-un singur shell

Fluxul de lucru documentat restricționează crearea fișierelor înainte ca valoarea privată să existe, apoi derivă din ea valoarea publică. Toate cele trei linii aparțin împreună unei singure sesiuni de shell:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey scrie o cheie privată Curve25519 de 32 de octeți în base64; wg pubkey o citește și derivă cheia publică corespunzătoare, iar tee salvează valoarea privată în timp ce o trimite mai departe prin conductă. Această ordine este motivul pentru care linia permisiunilor vine prima și pentru care lipirea conductei într-un al doilea terminal o pierde în tăcere. Numele fișierelor sunt ilustrative, iar important este că ambele fișiere ajung undeva sub controlul dispozitivului proprietar. Dacă un fișier privat există deja cu permisiuni implicite, chmod 600 privatekey repară fișierul curent și nu face nimic pentru copiile făcute mai devreme.

Păstrați jumătatea privată pe un singur dispozitiv

Valoarea privată aparține mașinii care va deține identitatea, într-un director pe care acea mașină îl protejează și pe care copiile sale de siguranță îl tratează ca pe o acreditare. Nu aparține într-un folder partajat, într-un mesaj către dumneavoastră sau într-un fragment atașat unui tichet de asistență, iar o copie încorporată face fișierul de configurare exact la fel de sensibil ca cheia. O cheie care a trăit în trei locuri nu mai poate fi analizată ulterior, și acesta este motivul practic de a o păstra într-unul singur.

Distrugerea deliberată a unui fișier retras face parte din același obicei. A-l lăsa într-un folder de descărcări până observă cineva nu face.

Ce are nevoie operatorul partenerului de la dumneavoastră

Cealaltă parte are nevoie de valoarea publică și de aranjamentul adreselor ales de operatorul său, nimic altceva. Trimiteți acel șir public prin canalul pe care operatorul îl așteaptă, apoi confirmați cărei intrări de partener i-a fost atașat înainte ca cineva să îl testeze, pentru că o cheie corectă în secțiunea greșită eșuează într-un mod care arată ca o problemă de cheie. Trimiteți-o ca o singură linie nefrântă, pentru că o cheie ruptă pe două linii se lipește în fișierul de configurare fără plângere și apoi nu se potrivește niciodată.

Generarea unei chei nu autorizează nimic prin ea însăși. Partenerul trebuie configurat să o accepte, iar pasul de configurare aparține celui care administrează acel capăt.

Testați perechea cu un schimb real

O pereche de chei identifică un capăt al unui tunel; nu creează nicio rută, nicio intrare de resolver, nicio regulă de redirecționare și nicio permisiune de firewall. După ce partenerul este pregătit, testați schimbul, nu fișierul: o strângere de mână care apare în wg show, o adresă care răspunde în interiorul tunelului și o cerere de aplicație care depinde de rută. Acel triplet separă o cheie greșită de o cheie corectă și de o cale lipsă.

Păstrați o identitate pe dispozitiv atunci când implementarea permite, astfel încât o unitate pierdută să poată fi revocată singură în loc să oblige pe toată lumea să regenereze chei. Această decizie este și ceea ce face procedura de înlocuire de mai jos sigură de rulat.

Înlocuirea unei chei fără gol

Generați înlocuitorul pe dispozitiv, adăugați noua cheie publică ca partener suplimentar, confirmați că transportă trafic și abia apoi îndepărtați cheia veche. A face asta în această ordine înseamnă că tunelul nu are niciodată un moment fără identitate validă, iar revenirea este pur și simplu ștergerea intrării pe care tocmai ați adăugat-o.

Păstrați fișierul privat înlocuit până când noul partener este confirmat, apoi distrugeți-l intenționat. Pornirea rapidă WireGuard este referința pentru comenzi în sine și este suficient de scurtă pentru a o citi integral înainte de a începe.