Skapa ett WireGuard-nyckelpar lokalt: kommandon och försiktighet

Två kommandon skapar ett WireGuard-nyckelpar och båda följer med standardverktygen, så den här uppgiften behöver ingen webbplats som erbjuder sig att skapa en nyckel åt dig. Det som går fel är aldrig kurvaritmetiken; det är behörighetsbitarna, platsen där filen landar och det som sedan skickas till andra änden. Sekvensen nedan börjar i en tom katalog och slutar hos en motpart som bär trafik. Läs den en gång innan du kör den, eftersom första raden bara spelar roll om nästa körs i samma skal.

Skapa paret i ett skal

Det dokumenterade arbetsflödet begränsar filskapande innan det privata värdet finns och härleder sedan det offentliga värdet ur det. Alla tre raderna hör ihop i en enda skalsession:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey skriver en 32-byte privat Curve25519-nyckel i base64; wg pubkey läser den och härleder motsvarande offentliga nyckel, och tee sparar det privata värdet medan det skickar det vidare genom röret. Den ordningen är skälet till att behörighetsraden kommer först och till att inklistring av rörledningen i en andra terminal tyst tappar den. Filnamnen är illustrativa och det viktiga är att båda filerna landar någonstans som den ägande enheten kontrollerar. Om en privat fil redan finns med standardbehörigheter reparerar chmod 600 privatekey den aktuella filen och gör ingenting åt kopior som skapades tidigare.

Håll den privata halvan på en enhet

Det privata värdet hör på maskinen som ska äga identiteten, i en katalog som maskinen skyddar och som dess säkerhetskopior behandlar som en autentiseringsuppgift. Det hör inte hemma i en delad mapp, i ett meddelande till dig själv eller i ett utdrag som bifogas ett supportärende, och en inbäddad kopia gör konfigurationsfilen precis lika känslig som nyckeln. En nyckel som har bott på tre ställen går inte att tänka igenom i efterhand, och det är det praktiska skälet att hålla den på ett.

Att medvetet förstöra en pensionerad fil är en del av samma vana. Att låta den ligga i en nedladdningsmapp tills någon upptäcker det är det inte.

Vad motpartens operatör behöver från dig

Andra sidan behöver det offentliga värdet och den adressindelning som dess operatör har valt, inget annat. Skicka den offentliga strängen via den kanal operatören förväntar sig och bekräfta sedan vilken motpartspost den kopplades till innan någon testar den, eftersom en korrekt nyckel i fel avsnitt misslyckas på ett sätt som ser ut som ett nyckelproblem. Skicka den som en enda obruten rad, eftersom en nyckel som brutits över två rader klistras in i en konfigurationsfil utan klagomål och sedan aldrig stämmer.

Att skapa en nyckel ger i sig inga befogenheter. Motparten måste konfigureras att acceptera den, och konfigurationssteget tillhör den som driver den änden.

Testa paret med ett riktigt utbyte

Ett nyckelpar identifierar ena änden av en tunnel; det skapar ingen rutt, ingen resolverpost, ingen vidarebefordringsregel och inget brandväggstillstånd. När motparten är etablerad, testa utbytet i stället för filen: ett handskakning som visas i wg show, en adress som svarar inne i tunneln och en applikationsbegäran som beror på rutten. Den trion skiljer en nyckel som är fel från en nyckel som är rätt och en väg som saknas.

Håll en identitet per enhet när utrullningen tillåter det, så att en förlorad enhet kan återkallas själv i stället för att tvinga alla att skapa nya nycklar. Det beslutet är också det som gör bytesproceduren nedan säker att köra.

Byta ut en nyckel utan glapp

Skapa ersättningen på enheten, lägg till den nya offentliga nyckeln som en extra motpart, bekräfta att den bär trafik och ta först därefter bort den gamla. Att göra det i den ordningen innebär att tunneln aldrig har en stund utan giltig identitet, och återställningen är helt enkelt att radera posten du just lade till.

Behåll den ersatta privata filen tills den nya motparten är bekräftad och förstör den sedan medvetet. WireGuard-snabbstarten är referensen för själva kommandona, och den är kort nog att läsas i sin helhet innan du börjar.