Vygenerujte pár kľúčov WireGuard lokálne: príkazy a opatrnosť

Dva príkazy vytvoria pár kľúčov WireGuard a oba prichádzajú so štandardnými nástrojmi, takže táto úloha nepotrebuje web, ktorý by vám ponúkol vytvoriť kľúč. Čo sa pokazí, nie je nikdy aritmetika krivky; sú to bity oprávnení, miesto, kam súbor pristane, a čo sa potom pošle na druhý koniec. Postup nižšie začína v prázdnom adresári a končí pri partnerovi, ktorý nesie prevádzku. Prečítajte si ho raz pred spustením, pretože prvý riadok má význam len vtedy, keď sa ďalší spustí v tej istej škrupine.

Vytvorenie páru v jednej škrupine

Dokumentovaný postup obmedzuje vytváranie súborov skôr, než súkromná hodnota existuje, a potom z nej odvodí verejnú hodnotu. Všetky tri riadky patria dohromady do jednej relácie škrupiny:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey zapíše 32-bajtový súkromný kľúč Curve25519 v base64; wg pubkey ho prečíta a odvodí zodpovedajúci verejný kľúč a tee uloží súkromnú hodnotu, pričom ju odovzdáva ďalej cez rúru. Kvôli tomuto poradiu prichádza riadok s oprávneniami prvý a kvôli nemu vloženie rúry do druhého terminálu potichu zlyhá. Názvy súborov sú ilustračné a dôležité je, že oba súbory pristanú niekde, čo kontroluje vlastniace zariadenie. Ak súkromný súbor už existuje s predvolenými oprávneniami, chmod 600 privatekey opraví aktuálny súbor a s kópiami vytvorenými skôr nič neurobí.

Udržte súkromnú polovicu na jednom zariadení

Súkromná hodnota patrí stroju, ktorý bude identitu vlastniť, do adresára, ktorý ten stroj chráni a ktorý jeho zálohy považujú za prihlasovací údaj. Nepatrí do zdieľaného priečinka, do správy sebe ani do úryvku priloženého k tiketu podpory a vložená kópia robí konfiguračný súbor rovnako citlivým ako kľúč. Kľúč, ktorý žil na troch miestach, sa už nedá domyslieť, a to je praktický dôvod držať ho na jednom.

Úmyselné zničenie vyradeného súboru je súčasťou toho istého zvyku. Nechať ho v priečinku stiahnutých súborov, kým si to niekto nevšimne, nie je.

Čo od vás operátor partnera potrebuje

Druhá strana potrebuje verejnú hodnotu a usporiadanie adries, ktoré si zvolil jej operátor, nič iné. Pošlite ten verejný reťazec kanálom, ktorý operátor očakáva, a potom potvrďte, ku ktorému záznamu partnera bol pripojený, skôr než ho niekto otestuje, pretože správny kľúč v nesprávnej sekcii zlyhá spôsobom, ktorý vyzerá ako problém s kľúčom. Posielajte ho ako jediný nezalomený riadok, pretože kľúč zlomený na dva riadky sa do konfiguračného súboru vloží bez sťažnosti a potom nikdy nesedí.

Vygenerovanie kľúča samo o sebe nič neoprávňuje. Partner musí byť nakonfigurovaný, aby ho prijal, a krok konfigurácie patrí tomu, kto ten koniec spravuje.

Otestujte pár skutočnou výmenou

Pár kľúčov identifikuje jeden koniec tunela; nevytvára trasu, záznam v prekladači, pravidlo preposielania ani povolenie vo firewalle. Keď je partner zabezpečený, testujte výmenu, nie súbor: handshake, ktorý sa objaví v wg show, adresu, ktorá odpovedá vnútri tunela, a jednu požiadavku aplikácie, ktorá závisí od trasy. Táto trojica oddeľuje nesprávny kľúč od správneho kľúča a chýbajúcej cesty.

Držte jednu identitu na zariadenie, keď to nasadenie dovolí, aby stratenú jednotku bolo možné odvolať samostatne, namiesto toho, aby to nútilo všetkých znova generovať kľúče. To rozhodnutie tiež robí nižšie uvedený postup nahradenia bezpečným na spustenie.

Nahradenie kľúča bez medzery

Vygenerujte náhradu na zariadení, pridajte nový verejný kľúč ako ďalšieho partnera, potvrďte, že nesie prevádzku, a až potom odoberte starý. Postup v tomto poradí znamená, že tunel nikdy nemá okamih bez platnej identity, a vrátenie späť je jednoducho vymazanie záznamu, ktorý ste práve pridali.

Ponechajte nahradený súkromný súbor, kým nie je nový partner potvrdený, a potom ho úmyselne zničte. Rýchly štart WireGuard je referenciou pre samotné príkazy a je dosť krátky na to, aby ste si ho pred začiatkom prečítali celý.