Ustvarite par ključev WireGuard lokalno: ukazi in previdnost

Dva ukaza ustvarita par ključev WireGuard in oba prideta s standardnimi orodji, zato ta naloga ne potrebuje spletnega mesta, ki bi ponujalo izdelavo ključa za vas. Kar se pokvari, nikoli ni aritmetika krivulje; to so biti dovoljenj, mesto, kamor datoteka pade, in tisto, kar se nato pošlje na drugi konec. Spodnje zaporedje se začne v praznem imeniku in konča pri partnerju, ki nosi promet. Preberite ga enkrat pred izvajanjem, ker je prva vrstica pomembna le, če se naslednja izvede v isti lupini.

Ustvarjanje para v eni lupini

Dokumentiran potek dela omejuje ustvarjanje datotek, preden zasebna vrednost obstaja, in nato iz nje izpelje javno vrednost. Vse tri vrstice sodijo skupaj v eno sejo lupine:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey zapiše 32-bajtni zasebni ključ Curve25519 v base64; wg pubkey ga prebere in izpelje ustrezni javni ključ, tee pa shrani zasebno vrednost, medtem ko jo pošilja naprej po cevi. Prav ta vrstni red je razlog, da vrstica z dovoljenji pride prva in da lepljenje cevovoda v drug terminal tiho izgubi. Imena datotek so zgledna in pomembno je, da obe datoteki pristaneta nekje, kar nadzoruje lastniška naprava. Če zasebna datoteka že obstaja s privzetimi dovoljenji, chmod 600 privatekey popravi trenutno datoteko in ne stori ničesar glede kopij, narejenih prej.

Zasebno polovico hranite na eni napravi

Zasebna vrednost pripada stroju, ki bo imel identiteto, v imeniku, ki ga ta stroj ščiti in ki ga njegove varnostne kopije obravnavajo kot poverilnico. Ne sodi v deljeno mapo, v sporočilo sebi ali v izsek, priložen zahtevku za podporo, vgrajena kopija pa naredi konfiguracijsko datoteko prav tako občutljivo kot ključ. Ključa, ki je živel na treh mestih, pozneje ni mogoče premisliti, in to je praktični razlog, da ga hranite na enem.

Namerno uničenje umaknjene datoteke je del iste navade. Pustiti jo v mapi prenosov, dokler je kdo ne opazi, ni.

Kaj operater partnerja potrebuje od vas

Druga stran potrebuje javno vrednost in razporeditev naslovov, ki jo je izbral njen operater, nič drugega. Pošljite to javno niz po kanalu, ki ga operater pričakuje, nato potrdite, kateremu vnosu partnerja je bil priložen, preden ga kdo preizkusi, ker pravilen ključ v napačnem razdelku spodleti tako, da je videti kot težava s ključem. Pošljite ga kot eno nezlomljeno vrstico, ker se ključ, zlomljen na dve vrstici, brez pritožbe prilepi v konfiguracijsko datoteko in se nato nikoli ne ujema.

Ustvarjanje ključa samo po sebi ničesar ne pooblasti. Partner mora biti konfiguriran, da ga sprejme, in korak konfiguracije pripada tistemu, ki upravlja ta konec.

Preizkusite par s pravim izmenjavanjem

Par ključev identificira en konec tunela; ne ustvari poti, vnosa v razreševalniku, pravila za posredovanje ali dovoljenja v požarnem zidu. Ko je partner pripravljen, preizkusite izmenjavo, ne datoteke: rokovanje, ki se pojavi v wg show, naslov, ki odgovori znotraj tunela, in eno zahtevo aplikacije, ki je odvisna od poti. Ta trojica loči napačen ključ od pravilnega ključa in od manjkajoče poti.

Ohranite eno identiteto na napravo, kadar namestitev to dovoljuje, da je izgubljeno enoto mogoče preklicati samostojno, namesto da bi vsi morali znova ustvariti ključe. Ta odločitev je tudi tisto, kar naredi spodnji postopek zamenjave varen za izvajanje.

Zamenjava ključa brez vrzeli

Ustvarite zamenjavo na napravi, dodajte novi javni ključ kot dodatnega partnerja, potrdite, da nosi promet, in šele nato odstranite starega. Izvajanje v tem vrstnem redu pomeni, da tunel nikoli nima trenutka brez veljavne identitete, razveljavitev pa je preprosto brisanje vnosa, ki ste ga pravkar dodali.

Obdržite zamenjano zasebno datoteko, dokler novi partner ni potrjen, nato jo namerno uničite. Hitri začetek WireGuard je referenca za same ukaze in je dovolj kratek, da ga pred začetkom preberete v celoti.