පළමු ඇරඹුම: WireGuard උපාංග බලඇණියක් සඳහා ලියාපදිංචිය

පුවරුව පොදු පින්තූරයෙන් ඇරඹෙයි, DHCP බද්දක් ලබයි, සහ කිසිවෙකු උපාංගය ස්පර්ශ කිරීමට පෙර සැපයුම් ස්ක්‍රිප්ටයක් ක්‍රියාත්මක වේ. එම ස්ක්‍රිප්ටයේ කොතැනක හෝ එය මෙම පුවරුවට පමණක් අයත් වන අනෙක් කිසිවකට අයත් නොවන WireGuard අනන්‍යතාවක් ලබා ගත යුතුය, එම අනන්‍යතාවය අවසර දිය යුතුය, සහ ද්වාරය පිළිගන්නා පැතිකඩක් ලිවිය යුතුය. පින්තූරයට සේවාලාභී මෘදුකාංගය, සමාලෝචිත අච්චුවක් සහ ද්වාරයේ පොදු යතුර දැරිය හැක. එය කිසිදා නොදැරිය යුතු දෙය නම් මුළු බලඇණියම බෙදාගන්නා එක් පුද්ගලික යතුරකි, මන්ද එය සොරකම් කළ එක් පුවරුවක් මුළු බලඇණියේම සිදුවීමක් බවට පත් කරයි. පහත අනුපිළිවෙල අනන්‍යතාවය දේශීයව සහ අවසරය පැහැදිලිව තබා ගනී.

පින්තූරය දරන දේ සහ නොදරන දේ

පැකේජය, ස්ථාන රඳවන සහිත අච්චුව, ද්වාරයේ පොදු යතුර සහ ලියාපදිංචි සේවාලාභියා යවන්න. අච්චුව යනු හැඩයකි, රහසක් නොවේ: එය සැපයුම් පරිශීලකයාට කියවිය හැකි විය යුතු අතර කිසිදු යතුරු ද්‍රව්‍යයක් අඩංගු නොවිය යුතුය.

පුද්ගලික යතුර පළමු ඇරඹුමේදී උපාංගයේම ජනනය වන අතර එය කිසිදා අත්හැර නොයයි. ගමන් කරන්නේ පොදු අර්ධය පමණි, උපාංගය තමා කවුරුන්ද යන්න පිළිබඳ තමන්ගේම හිමිකම් පෑම හැර වෙනත් දෙයකින් අවසර ලබන ලියාපදිංචි ඉල්ලීමක් තුළ. එම වෙනසයි සොරකම් කළ පුවරුවක් මුළු බලඇණියේම ගැටලුවක් වීම වළක්වන්නේ. තවද එයයි බොහෝ පළමු-ඇරඹුම් ස්ක්‍රිප්ට් වැරදි කරන කොටස.

පියවර 1: යතුර දේශීයව ජනනය කරන්න

යටි නෙට්වර්ක සම්බන්ධතාවය අනුමත වී ක්‍රියාත්මක වූ පසු ආරක්ෂිත නාමාවලියක ජනනය ක්‍රියාත්මක කරන්න. උප කවචය umask වෙනස්කම මෙම මෙහෙයුමට පමණක් දේශීයව තබා ගනියි, සහ set -C පවත්නා ගොනුවක් උඩින් ලිවීම ප්‍රතික්ෂේප කරයි:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard ඉක්මන් ආරම්භය මෙම අණ දෙක රඳා පවතින යතුරු ජනන සම්බන්ධය ලේඛනගත කරයි. ජනනය බාධා වුවහොත්, උපාංගය ලියාපදිංචි නොකළ ලෙස තබා වැඩ ප්‍රවාහය ගොනු එකඟ කර දෙන්න. ස්ක්‍රිප්ටය මුල සිට පිරිසිදුව ධාවනය වීම සඳහා පමණක් පවත්නා අනන්‍යතාවය මකන්න එපා.

නැවත උත්සාහ අතර රැඳී ඇති යතුර රඳවා ගන්න. සෑම තාවකාලික ජාල අසාර්ථකත්වයකට පසුව අනන්‍යතාවය නැවත ජනනය කිරීම යනු බලඇණිය කිසිවෙකුට උපාංගයකට නොගැළපිය හැකි අනාථ peer සමඟ ඉතිරි වන මාර්ගයයි.

පියවර 2: උපාංග වාර්තාවක් අවසර දෙන්න

ඉන්වෙන්ටරිය මෙම පුවරුව device-042 ලෙස හඳුන්වා එයට 10.90.0.42/32 පවරන බව උපකල්පනය කරන්න. ලියාපදිංචි සේවාව තහවුරු කළ යුත්තේ මෙම ඉල්ලුම්කරුට එම වාර්තාවට හිමිකම් ඇති බවයි. පෝරමයක ටයිප් කළ අනුක්‍රමික අංකය සාක්ෂියක් නොවේ, මන්ද අනුක්‍රමික අංක පෙට්ටියේ පිටත මුද්‍රණය කර ඇත.

උපාංගයකට එක් බුට්ස්ට්‍රැප් අක්තපත්‍රයක්, ක්‍රියාකරු අනුමැතියක් හෝ දෘඩාංග ආධාරක සහතිකයක් හිමිකම් පෑම තහවුරු කළ හැක. ඉල්ලීමේ අඛණ්ඩතාව සහ ප්‍රතිචාරයේ සත්‍යතාව ආරක්ෂා කරන්න, සහ එක් පොදු VPN රහසක් එක් පොදු කර්මාන්තශාලා අක්තපත්‍රයකින් ආදේශ නොකරන්න.

ලියාපදිංචි වාර්තාව උපාංගය, එහි පොදු යතුර, පවරන ලද ලිපිනය සහ අවසර ලත් කළමනාකරණ භූමිකාව බැඳ තබයි. WireGuard ම විසින් කිසිදු ලියාපදිංචි API යක් නිර්වචනය නොකරයි, එබැවින් එම සේවාව යනු ඔබ දැනුවත්ව ගොඩනඟා ක්‍රියාත්මක කරන දෙයකි.

පියවර 3: ගැළපෙන වින්‍යාස දෙකක් ලියන්න

උපාංගයට කළමනාකරණ උපසර්ග උමඟට යොමු කරන පැතිකඩක් අවශ්‍ය වන අතර, ද්වාරයට මෙම උපාංගයේම මූල ලිපිනයට පමණක් අවසර දෙන peer සටහනක් අවශ්‍ය වේ. ද්වාරය 10.90.0.1 හි සහ කළමනාකරණ ජාලය 10.60.0.0/16 වන විට උපාංග පැත්ත මෙලෙස පෙනේ:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

වරහන් තුළ ඇති අගයන් ස්ථාන රඳවන වේ, යතුරු නොවේ. පුවරුව NAT පිටුපස සිට ළඟා විය හැකි ලෙස රැඳී සිටිය යුතු විට keepalive වැදගත් වේ; එය සෑම තැනකම අවශ්‍ය නොවේ, සහ පුරුද්දක් ලෙස එකතු කිරීම හේතුවක් නොමැතිව රේඩියෝව අවදිව තබයි.

ද්වාරයේ, peer සටහන චේතනාන්විතව පටුය:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

උපාංගයේ ගමනාන්ත ලැයිස්තුව ද්වාරයේ peer වෙත පිටපත් නොකරන්න. උපාංගයේ එම ලැයිස්තුව උමඟට යොමු කළ යුතු දේ පවසයි; ද්වාරයේ එය මෙම peer භාවිත කළ හැකි මූල ලිපින පවසයි, සහ ඒවා වෙනස් ප්‍රකාශ වේ.

බෙදාහැරීම, ගිනිපවුරු නීති සහ කළමනාකරණ ජාලයට ආපසු මාර්ගය තවමත් අනුමත ප්‍රවේශයට අවසර දිය යුතුය. ලියාපදිංචි peer එකක් එහි පිටුපස ඇති සෑම යෙදුමකටම අවසරයක් නොවේ.

පියවර 4: ලියාපදිංචිය ජීවන චක්‍ර තත්ත්වයක් ලෙස තහවුරු කරන්න

සෑම වින්‍යාසයක හිමිකරු හරහා ද්වාර වාර්තාව සහ උපාංග පැතිකඩ යොදන්න, පසුව අපේක්ෂිත අනන්‍යතාවය සහ ලිපිනය පිළිගත් විට පමණක් ලියාපදිංචිය සම්පූර්ණ ලෙස සලකුණු කරන්න. නැවත උත්සාහ දෙවන peer එකක් හෝ දෙවන ලිපිනයක් වෙන් කරනවා වෙනුවට එම වාර්තාවම එකඟ කළ යුතුය.

බාධා වූ සැපයුම සඳහා ප්‍රතිසාධන මාර්ගයක් තබා ගන්න, ද්වාරය යතුර පිළිගත් නමුත් උපාංගය කිසිදා තම පැතිකඩ නොලිවූ අවස්ථාව ඇතුළුව.

පුවරුවක් ප්‍රතිස්ථාපනය වූ විට හෝ විශ්‍රාම ගිය විට, එහි පොදු යතුර සහ එහි අවසරය එකට ඉවත් කරන්න. නව යතුරක් යනු චේතනාන්විත නැවත ලියාපදිංචි සිදුවීමකි, නැවත පින්තූර සකස් කිරීමේ අතුරු ප්‍රතිඵලයක් නොවේ. කාර්ය අනුපිළිවෙල: දේශීයව ජනනය කරන්න, ඉන්වෙන්ටරියට එරෙහිව අවසර දෙන්න, දෙපැත්තම ලියන්න, තත්ත්වය තහවුරු කරන්න, පසුව උමඟ හරහා එක් කළමනාකරණ ඉල්ලීමක් පරීක්ෂා කරන්න.