Krijoni një çift çelësash WireGuard lokalisht: komandat dhe kujdesi

Dy komanda krijojnë një çift çelësash WireGuard dhe të dyja vijnë me mjetet standarde, prandaj kjo detyrë nuk ka nevojë për një faqe që ofron të krijojë një çelës për ju. Ajo që prishet nuk është kurrë aritmetika e kurbës; janë bitet e lejeve, vendi ku skedari ulet dhe ajo që dërgohet më pas në skajin tjetër. Sekuenca më poshtë nis në një drejtori bosh dhe përfundon te një homolog që mbart trafik. Lexojeni një herë përpara se ta ekzekutoni, sepse rreshti i parë ka rëndësi vetëm nëse ai pasues ekzekutohet në të njëjtin shell.

Krijimi i çiftit në një shell të vetëm

Rrjedha e dokumentuar e punës kufizon krijimin e skedarëve përpara se vlera private të ekzistojë, dhe më pas nxjerr prej saj vlerën publike. Të tre rreshtat i përkasin bashkë një sesioni të vetëm shell:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey shkruan një çelës privat Curve25519 prej 32 bajtësh në base64; wg pubkey e lexon dhe nxjerr çelësin publik përkatës, dhe tee ruan vlerën private ndërsa e kalon më poshtë nëpër tub. Ky renditje është arsyeja pse rreshti i lejeve vjen i pari dhe pse ngjitja e tubacionit në një terminal të dytë e humb atë në heshtje. Emrat e skedarëve janë ilustrues, dhe e rëndësishmja është që të dy skedarët të ulen diku që pajisja pronare e kontrollon. Nëse një skedar privat ekziston tashmë me lejet e paracaktuara, chmod 600 privatekey rregullon skedarin aktual dhe nuk bën asgjë për kopjet e bëra më parë.

Mbajeni gjysmën private në një pajisje të vetme

Vlera private i përket makinës që do të zotërojë identitetin, në një drejtori që ajo makinë e mbron dhe që kopjet e saj rezervë e trajtojnë si kredencial. Ajo nuk i përket një dosjeje të përbashkët, një mesazhi për veten ose një fragmenti të bashkangjitur një tikete mbështetjeje, dhe një kopje e integruar e bën skedarin e konfigurimit po aq të ndjeshëm sa çelësi. Një çelës që ka jetuar në tre vende nuk mund të rishikohet më pas, dhe kjo është arsyeja praktike për ta mbajtur në një.

Shkatërrimi i qëllimshëm i një skedari të tërhequr është pjesë e të njëjtit zakon. Ta lësh në një dosje shkarkimesh derisa dikush ta vërë re nuk është.

Çfarë i nevojitet operatorit të homologut nga ju

Palës tjetër i nevojitet vlera publike dhe rregullimi i adresave që ka zgjedhur operatori i saj, asgjë tjetër. Dërgojeni atë varg publik përmes kanalit që operatori pret, pastaj konfirmoni se cilit zë të homologut iu bashkëngjit përpara se dikush ta testojë, sepse një çelës i saktë në seksionin e gabuar dështon në një mënyrë që duket si problem çelësi. Dërgojeni si një rresht të vetëm të palpaluar, sepse një çelës i thyer në dy rreshta ngjitet në skedarin e konfigurimit pa ankesa dhe pastaj nuk përputhet kurrë.

Krijimi i një çelësi nuk autorizon asgjë në vetvete. Homologu duhet të konfigurohet ta pranojë atë, dhe hapi i konfigurimit i përket atij që drejton atë skaj.

Testojeni çiftin me një shkëmbim të vërtetë

Një çift çelësash identifikon një skaj të një tuneli; ai nuk krijon rrugë, zë zgjidhësi, rregull përcjelljeje apo leje muri zjarri. Pasi homologia të jetë përgatitur, testoni shkëmbimin dhe jo skedarin: një shtrëngim duarsh që shfaqet në wg show, një adresë që përgjigjet brenda tunelit dhe një kërkesë aplikacioni që varet nga rruga. Ky treshe ndan çelësin e gabuar nga çelësi i saktë dhe nga rruga që mungon.

Mbani një identitet për pajisje kur vendosja e lejon, në mënyrë që një njësi e humbur të revokohet vetë në vend që të detyrojë të gjithë të rigjenerojnë çelësat. Ky vendim është gjithashtu ajo që e bën procedurën e zëvendësimit më poshtë të sigurt për t'u ekzekutuar.

Zëvendësimi i një çelësi pa boshllëk

Krijoni zëvendësuesin në pajisje, shtoni çelësin e ri publik si homolog shtesë, konfirmoni se ai mbart trafik dhe vetëm atëherë hiqni të vjetrin. Ta bësh në atë renditje do të thotë që tuneli nuk ka kurrë një moment pa identitet të vlefshëm, dhe kthimi pas është thjesht fshirja e zërit që sapo shtuat.

Mbajeni skedarin privat të zëvendësuar derisa homologia e re të konfirmohet, pastaj shkatërrojeni me qëllim. Nisja e shpejtë e WireGuard është referenca për vetë komandat, dhe është mjaft i shkurtër për t'u lexuar plotësisht përpara se të filloni.