Направите WireGuard пар кључева локално: команде и пажња

Две команде генеришу WireGuard пар кључева и обе долазе са стандардним алатима, па овај задатак не треба веб-страницу која нуди да вам направи кључ. Оно што се поквари никада није аритметика криве; то су битови дозвола, место на које датотека слеће и оно што се после пошаље другој страни. Редослед испод почиње у празном директоријуму, а завршава се код партнера који носи саобраћај. Прочитајте га једном пре извршавања, јер први ред има смисла само ако се следећи изврши у истој љусци.

Генерисање пара у једној љусци

Документовани ток рада ограничава стварање датотека пре него што приватна вредност постоји, а затим из ње изводи јавну вредност. Сва три реда припадају заједно у једну сесију љуске:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey уписује 32-бајтни приватни кључ Curve25519 у base64; wg pubkey га чита и изводи одговарајући јавни кључ, а tee чува приватну вредност док је прослеђује кроз цев. Тај редослед је разлог зашто ред о дозволама долази први и зашто лепљење цевовода у други терминал тихо губи. Називи датотека су илустративни, а важно је да обе датотеке слете негде где уређај власник има контролу. Ако приватна датотека већ постоји са подразумеваним дозволама, chmod 600 privatekey поправља тренутну датотеку и не чини ништа са копијама направљеним раније.

Задржите приватну половину на једном уређају

Приватна вредност припада машини која ће поседовати идентитет, у директоријуму који та машина штити и који њене резервне копије третирају као акредитив. Она не припада у дељену фасциклу, у поруку себи или у исечак приложен уз захтев за подршку, а уграђена копија чини конфигурациону датотеку једнако осетљивом као кључ. Кључ који је живео на три места не може се касније промишљати, и то је практичан разлог да га држите на једном.

Намерно уништавање повучене датотеке део је исте навике. Остављање у фасцикли преузимања док неко не примети није.

Шта оператер партнера треба од вас

Другој страни треба јавна вредност и распоред адреса који је њен оператер изабрао, ништа друго. Пошаљите тај јавни низ каналом који оператер очекује, па потврдите којем уносу партнера је придружен пре него што га ико тестира, јер исправан кључ у погрешном одељку пада на начин који изгледа као проблем с кључем. Пошаљите га као један непреломљен ред, јер кључ преломљен на два реда залепи се у конфигурациону датотеку без приговора и затим никада не одговара.

Генерисање кључа само по себи ништа не овлашћује. Партнер мора бити конфигурисан да га прихвати, а корак конфигурације припада ономе ко води тај крај.

Тестирајте пар стварном разменом

Пар кључева идентификује један крај тунела; он не ствара руту, унос у разрешивачу, правило прослеђивања ни дозволу на заштитном зиду. Након што партнер буде обезбеђен, тестирајте размену, а не датотеку: руковање које се појави у wg show, адресу која одговара унутар тунела и један захтев апликације који зависи од руте. Та тројка раздваја погрешан кључ од исправног кључа и од стазе која недостаје.

Држите један идентитет по уређају када имплементација то дозвољава, да се изгубљена јединица може опозвати сама уместо да све присили на поновно генерисање кључева. Та одлука је и оно што процедуру замене испод чини безбедном за извођење.

Замена кључа без празнине

Генеришите замену на уређају, додајте нови јавни кључ као додатног партнера, потврдите да носи саобраћај и тек тада уклоните стари. Извођење тим редоследом значи да тунел никада нема тренутак без важећег идентитета, а враћање је једноставно брисање уноса који сте управо додали.

Задржите замењену приватну датотеку док нови партнер не буде потврђен, а затим је намерно уништите. WireGuard брзи почетак је референца за саме команде и довољно је кратак да га прочитате у целини пре него што почнете.