Kuwasha kwa mara ya kwanza: usajili wa kundi la vifaa vya WireGuard

Picha moja, ufunguo mmoja kwa kila ubao na hatua ya idhini ambayo haiamini madai ya kifaa chenyewe. Hatua nne kutoka kuwasha hadi peer iliyothibitishwa.

Ubao huwaka kutoka kwa picha ya pamoja, hupata leseni ya DHCP, na hati ya maandalizi huendeshwa kabla mtu yeyote kugusa kifaa. Mahali fulani katika hati hiyo ni lazima ipate utambulisho wa WireGuard ambao ni wa ubao huu na si mwingine, iidhinishe utambulisho huo, na iandike profaili ambayo lango litakubali. Picha inaweza kubeba programu ya mteja, kiolezo kilichopitiwa na ufunguo wa umma wa lango. Kile ambacho haipaswi kubeba kamwe ni ufunguo mmoja wa faragha unaoshirikiwa na kundi lote, kwa sababu hiyo hubadilisha ubao mmoja ulioibiwa kuwa tukio la kundi lote. Mpangilio ulio chini unaweka utambulisho ndani na idhini wazi.

Picha inabeba nini, na haibebi nini

Tuma kifurushi, kiolezo chenye nafasi za kujaza, ufunguo wa umma wa lango na mteja wa usajili. Kiolezo ni umbo, si siri: kinapaswa kusomeka na mtumiaji wa maandalizi na kisiwe na nyenzo yoyote ya ufunguo.

Ufunguo wa faragha hutengenezwa kwenye kifaa wakati wa kuwasha kwa mara ya kwanza na haukiachi kamwe. Nusu ya umma pekee husafiri, ndani ya ombi la usajili linaloidhinishwa na kitu kingine isipokuwa dai la kifaa chenyewe kuhusu yeye ni nani. Tofauti hiyo ndiyo inayozuia ubao ulioibiwa kuwa tatizo la kundi lote. Na ni sehemu ambayo hati nyingi za kuwasha kwa mara ya kwanza huifanya vibaya.

Hatua 1: tengeneza ufunguo ndani

Endesha utengenezaji katika folda iliyolindwa baada ya muunganisho wa msingi wa mtandao kuidhinishwa na kufanya kazi. Shell ndogo huweka mabadiliko ya umask ndani kwa operesheni hii, na set -C hukataa kuandika juu ya faili iliyopo:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

Uanzishaji wa haraka wa WireGuard unaandika uhusiano wa utengenezaji wa funguo ambao amri hizi mbili hutegemea. Ikiwa utengenezaji utakatika, acha kifaa bila usajili na acha mtiririko wa kazi upatanishe faili. Usifute utambulisho uliopo kwa sababu tu hati ifanye kazi safi kutoka mwanzo.

Hifadhi ufunguo unaosubiri kati ya majaribio mapya. Kutengeneza utambulisho upya baada ya kila hitilafu ya muda ya mtandao ndiyo njia ambayo kundi huishia na peer mayatima ambao hakuna anayeweza kuwalinganisha na kifaa.

Hatua 2: idhinisha rekodi ya kifaa

Tuseme orodha ya vifaa inauita ubao huu device-042 na kuipatia 10.90.0.42/32. Huduma ya usajili lazima ithibitishe kwamba mwombaji huyu ana haki ya rekodi hiyo. Namba ya mfululizo iliyochapwa kwenye fomu si uthibitisho, kwa sababu namba za mfululizo huchapishwa nje ya sanduku.

Kitambulisho cha kuanza kwa kila kifaa, idhini ya mwendeshaji au uthibitisho unaoungwa mkono na maunzi vinaweza kusimamisha dai hilo. Linda uadilifu wa ombi na uhalali wa jibu, na usibadilishe siri moja ya VPN inayoshirikiwa na kitambulisho kimoja cha kiwanda kinachoshirikiwa.

Rekodi iliyosajiliwa huunganisha kifaa, ufunguo wake wa umma, anwani iliyopewa na jukumu la usimamizi linaloruhusiwa. WireGuard yenyewe haifafanui API yoyote ya usajili, kwa hivyo huduma hiyo ni kitu unachojenga na kuendesha kwa makusudi.

Hatua 3: andika usanidi mbili zinazolingana

Kifaa kinahitaji profaili inayoelekeza viambishi vya usimamizi kwenye handaki, na lango linahitaji ingizo la peer linaloruhusu anwani ya chanzo ya kifaa hiki pekee. Lango likiwa 10.90.0.1 na mtandao wa usimamizi 10.60.0.0/16, upande wa kifaa unaonekana hivi:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

Thamani zilizo ndani ya mabano ni nafasi za kujaza, si funguo. Keepalive ni muhimu wakati ubao uko nyuma ya NAT na lazima ubaki ufikikaji; hauhitajiki kila mahali, na kuiongeza kwa mazoea huweka redio macho bila sababu.

Kwenye lango, ingizo la peer ni nyembamba kwa makusudi:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

Usinakili orodha ya mahali pa kwenda ya kifaa kwenye peer ya lango. Kwenye kifaa orodha hiyo inasema nini cha kuelekeza kwenye handaki; kwenye lango inasema anwani zipi za chanzo peer huyu anaweza kutumia, na hayo ni madai tofauti.

Upelekaji, kanuni za firewall na njia ya kurudi kwenye mtandao wa usimamizi bado zinapaswa kuruhusu ufikiaji uliidhinishwa. Peer iliyosajiliwa si ruhusa kwa kila programu iliyo nyuma yake.

Hatua 4: thibitisha usajili kama hali ya mzunguko wa maisha

Tumia rekodi ya lango na profaili ya kifaa kupitia yule anayemiliki kila usanidi, kisha weka alama ya usajili kuwa umekamilika pale tu utambulisho na anwani vilivyokusudiwa vinapokubaliwa. Majaribio mapya yanapaswa kupatanisha rekodi hiyo hiyo badala ya kugawa peer wa pili au anwani ya pili.

Weka njia ya urejeshaji kwa maandalizi yaliyokatika, ikiwa ni pamoja na kesi ambapo lango lilikubali ufunguo na kifaa hakikuandika profaili yake kamwe.

Ubao unapobadilishwa au kustaafu, ondoa ufunguo wake wa umma na idhini yake pamoja. Ufunguo mpya ni tukio la usajili upya kwa makusudi, si athari ya pembeni ya picha mpya. Mpangilio wa kazi: tengeneza ndani, idhinisha dhidi ya orodha ya vifaa, andika pande zote mbili, thibitisha hali, kisha jaribu ombi moja la usimamizi kupitia handaki.

Makala zinazohusiana