Generirajte WireGuard par ključeva lokalno: naredbe i pažnja

Dvije naredbe generiraju WireGuard par ključeva i obje dolaze sa standardnim alatima, pa ovaj zadatak ne treba web-stranicu koja nudi da vam izradi ključ. Ono što pođe po zlu nikada nije aritmetika krivulje; to su bitovi dopuštenja, mjesto na koje datoteka sleti i ono što se poslije pošalje drugoj strani. Slijed ispod počinje u praznom direktoriju, a završava kod partnera koji nosi promet. Pročitajte ga jednom prije izvršavanja jer prvi red ima smisla samo ako se sljedeći izvrši u istoj ljusci.

Generiranje para u jednoj ljusci

Dokumentirani tijek rada ograničava stvaranje datoteka prije nego privatna vrijednost postoji, a zatim iz nje izvodi javnu vrijednost. Sva tri retka pripadaju zajedno u jednu sesiju ljuske:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey upisuje 32-bajtni privatni ključ Curve25519 u base64; wg pubkey ga čita i izvodi odgovarajući javni ključ, a tee čuva privatnu vrijednost dok je prosljeđuje kroz cijev. Taj je redoslijed razlog zašto redak o dopuštenjima dolazi prvi i zašto lijepljenje cjevovoda u drugi terminal tiho gubi. Nazivi datoteka su ilustrativni, a važno je da obje datoteke slete negdje gdje uređaj vlasnik ima nadzor. Ako privatna datoteka već postoji sa zadanim dopuštenjima, chmod 600 privatekey popravlja trenutačnu datoteku i ne čini ništa s kopijama načinjenim ranije.

Zadržite privatnu polovicu na jednom uređaju

Privatna vrijednost pripada stroju koji će posjedovati identitet, u direktoriju koji taj stroj štiti i koji njegove sigurnosne kopije tretiraju kao vjerodajnicu. Ona ne pripada u zajedničku mapu, u poruku sebi ili u ulomak priložen uz zahtjev za podršku, a ugrađena kopija čini konfiguracijsku datoteku jednako osjetljivom kao ključ. Ključ koji je živio na tri mjesta ne može se kasnije promisliti, i to je praktični razlog da ga držite na jednom.

Namjerno uništavanje povučene datoteke dio je iste navike. Ostavljanje u mapi preuzimanja dok netko ne primijeti nije.

Što operater partnera treba od vas

Drugoj strani treba javna vrijednost i raspored adresa koji je njezin operater odabrao, ništa drugo. Pošaljite taj javni niz kanalom koji operater očekuje, pa potvrdite kojem je unosu partnera pridružen prije nego što ga itko testira, jer ispravan ključ u pogrešnom odjeljku pada na način koji izgleda kao problem s ključem. Pošaljite ga kao jedan neprelomljen redak, jer ključ prelomljen na dva retka zalijepi se u konfiguracijsku datoteku bez prigovora i zatim nikada ne odgovara.

Generiranje ključa samo po sebi ništa ne ovlašćuje. Partner mora biti konfiguriran da ga prihvati, a korak konfiguracije pripada onome tko vodi taj kraj.

Testirajte par stvarnom razmjenom

Par ključeva identificira jedan kraj tunela; on ne stvara rutu, unos u razrješivaču, pravilo prosljeđivanja ni dopuštenje na vatrozidu. Nakon što partner bude osiguran, testirajte razmjenu, a ne datoteku: rukovanje koje se pojavi u wg show, adresu koja odgovara unutar tunela i jedan zahtjev aplikacije koji ovisi o ruti. Ta trojka razdvaja pogrešan ključ od ispravnog ključa i nedostajuće staze.

Držite jedan identitet po uređaju kada implementacija to dopušta, da se izgubljena jedinica može opozvati sama umjesto da sve prisili na ponovno generiranje ključeva. Ta odluka je i ono što proceduru zamjene ispod čini sigurnom za izvođenje.

Zamjena ključa bez praznine

Generirajte zamjenu na uređaju, dodajte novi javni ključ kao dodatnog partnera, potvrdite da nosi promet i tek tada uklonite stari. Izvođenje tim redoslijedom znači da tunel nikada nema trenutak bez valjanog identiteta, a vraćanje je jednostavno brisanje unosa koji ste upravo dodali.

Zadržite zamijenjenu privatnu datoteku dok novi partner ne bude potvrđen, a zatim je namjerno uništite. WireGuardov brzi početak referenca je za same naredbe i dovoljno je kratak da ga pročitate u cjelini prije nego što počnete.