முதல் துவக்கத்தில் WireGuard சாதனங்களின் குழுவிற்கான பதிவு

பலகை பொதுப் படிமத்திலிருந்து துவங்குகிறது, DHCP குத்தகை பெறுகிறது, மற்றும் யாரும் சாதனத்தைத் தொடுவதற்கு முன்பே வழங்கல் ஸ்கிரிப்ட் இயங்குகிறது. அந்த ஸ்கிரிப்டில் எங்கோ இது இந்தப் பலகைக்கு மட்டும் சொந்தமான, வேறு எதற்கும் சொந்தமில்லாத WireGuard அடையாளத்தைப் பெற வேண்டும், அந்த அடையாளத்தை அனுமதிக்கச் செய்ய வேண்டும், மற்றும் நுழைவாயில் ஏற்கும் சுயவிவரத்தை எழுத வேண்டும். படிமம் வாடிக்கையாளர் மென்பொருள், மதிப்பாய்வு செய்யப்பட்ட வார்ப்புரு மற்றும் நுழைவாயிலின் பொது விசையைக் கொண்டு செல்லலாம். அது ஒருபோதும் கொண்டு செல்லக் கூடாதது முழுக் குழுவும் பங்கிடும் ஒரே தனிப்பட்ட விசை, ஏனெனில் அது திருடப்பட்ட ஒரு பலகையை முழுக் குழுவின் சம்பவமாக மாற்றுகிறது. கீழேயுள்ள வரிசை அடையாளத்தை உள்ளூராகவும் அனுமதியைத் தெளிவாகவும் வைத்திருக்கிறது.

படிமம் எதைக் கொண்டு செல்கிறது, எதைக் கொண்டு செல்லவில்லை

தொகுப்பு, இடப்பிடங்களுடன் கூடிய வார்ப்புரு, நுழைவாயிலின் பொது விசை மற்றும் பதிவு வாடிக்கையாளரை அனுப்புங்கள். வார்ப்புரு ஒரு வடிவம், இரகசியம் அல்ல: அது வழங்கல் பயனருக்குப் படிக்கக்கூடியதாக இருக்க வேண்டும் மற்றும் எந்த விசைப் பொருளும் இருக்கக் கூடாது.

தனிப்பட்ட விசை முதல் துவக்கத்தில் சாதனத்திலேயே உருவாக்கப்படுகிறது, அதை ஒருபோதும் விட்டு வெளியேறாது. பொது பாதி மட்டுமே பயணிக்கிறது, சாதனம் தான் யார் என்பது குறித்த அதன் சொந்த உரிமைகோரலைத் தவிர வேறொன்றால் அனுமதிக்கப்படும் பதிவு கோரிக்கைக்குள். இந்த வேறுபாடுதான் திருடப்பட்ட பலகை முழுக் குழுவின் பிரச்சினையாக மாறுவதைத் தடுக்கிறது. இதுவே பெரும்பாலான முதல்-துவக்க ஸ்கிரிப்ட்கள் தவறாகச் செய்யும் பகுதி.

படி 1: விசையை உள்ளூரில் உருவாக்குங்கள்

அடிப்படை பிணைய இணைப்பு அனுமதிக்கப்பட்டு செயல்பட்ட பிறகு பாதுகாக்கப்பட்ட அடைவில் உருவாக்கத்தை இயக்குங்கள். துணை-ஷெல் umask மாற்றத்தை இந்தச் செயலுக்கு மட்டும் உள்ளூராக வைத்திருக்கிறது, set -C ஏற்கனவே உள்ள கோப்பை மேலெழுத மறுக்கிறது:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard விரைவு தொடக்கம் இந்த இரண்டு கட்டளைகள் சார்ந்திருக்கும் விசை-உருவாக்க உறவை ஆவணப்படுத்துகிறது. உருவாக்கம் தடைப்பட்டால், சாதனத்தைப் பதிவு செய்யப்படாததாக விட்டுவிட்டு பணிப்பாய்வு கோப்புகளை ஒருங்கிணைக்கட்டும். ஸ்கிரிப்ட் தொடக்கத்திலிருந்து தூய்மையாக இயங்குவதற்காக மட்டும் ஏற்கனவே உள்ள அடையாளத்தை அழிக்க வேண்டாம்.

மீண்டும் முயற்சிகளுக்கிடையே காத்திருக்கும் விசையை வைத்திருங்கள். ஒவ்வொரு தற்காலிக பிணைய தோல்விக்குப் பிறகும் அடையாளத்தை மீண்டும் உருவாக்குவதுதான் குழு யாரும் சாதனத்துடன் பொருத்த முடியாத அனாதை peer-களுடன் மிஞ்சும் வழி.

படி 2: சாதனப் பதிவை அனுமதியுங்கள்

சரக்குப் பட்டியல் இந்தப் பலகையை device-042 என்று அழைத்து அதற்கு 10.90.0.42/32 ஒதுக்குகிறது என்று வைத்துக்கொள்வோம். பதிவுச் சேவை இந்தக் கோரிக்கையாளருக்கு அந்தப் பதிவின் உரிமை உள்ளதா எனச் சரிபார்க்க வேண்டும். படிவத்தில் தட்டச்சு செய்யப்பட்ட வரிசை எண் சான்று அல்ல, ஏனெனில் வரிசை எண்கள் பெட்டியின் வெளிப்புறத்தில் அச்சிடப்படுகின்றன.

ஒவ்வொரு சாதனத்திற்குமான துவக்கச் சான்று, இயக்குபவரின் ஒப்புதல் அல்லது வன்பொருள் ஆதரவு பெற்ற சான்றளிப்பு ஆகியவை உரிமைகோரலை நிறுவ முடியும். கோரிக்கையின் நேர்மையையும் பதிலின் உண்மையையும் பாதுகாக்கவும், ஒரு பங்கிடப்பட்ட VPN இரகசியத்தை ஒரு பங்கிடப்பட்ட தொழிற்சாலைச் சான்றுடன் மாற்ற வேண்டாம்.

பதிவு செய்யப்பட்ட பதிவு சாதனத்தையும், அதன் பொது விசையையும், ஒதுக்கப்பட்ட முகவரியையும், அனுமதிக்கப்பட்ட நிர்வாகப் பங்கையும் இணைக்கிறது. WireGuard தானே எந்தப் பதிவு API-யையும் வரையறுக்கவில்லை, எனவே அந்தச் சேவை நீங்கள் வேண்டுமென்றே கட்டி இயக்கும் ஒன்று.

படி 3: பொருந்தும் இரண்டு உள்ளமைவுகளை எழுதுங்கள்

சாதனத்திற்கு நிர்வாக முன்னொட்டுகளைச் சுரங்கப்பாதைக்கு வழிமாற்றும் சுயவிவரம் தேவை, நுழைவாயிலுக்கு இந்தச் சாதனத்தின் சொந்த மூல முகவரியை மட்டும் அனுமதிக்கும் peer பதிவு தேவை. நுழைவாயில் 10.90.0.1-இல் மற்றும் நிர்வாகப் பிணையம் 10.60.0.0/16 ஆக இருக்கும்போது சாதனப் பக்கம் இப்படித் தெரிகிறது:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

அடைப்புக்குள் உள்ள மதிப்புகள் இடப்பிடங்கள், விசைகள் அல்ல. பலகை NAT-க்குப் பின்னால் இருந்து அணுகக்கூடியதாக இருக்க வேண்டியிருக்கும்போது keepalive முக்கியம்; அது எல்லா இடங்களிலும் தேவையில்லை, மற்றும் பழக்கத்தால் சேர்ப்பது காரணமின்றி வானொலியை விழிப்புடன் வைத்திருக்கிறது.

நுழைவாயிலில், peer பதிவு வேண்டுமென்றே குறுகலாக உள்ளது:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

சாதனத்தின் இலக்குப் பட்டியலை நுழைவாயிலின் peer-இல் நகலெடுக்க வேண்டாம். சாதனத்தில் அந்தப் பட்டியல் சுரங்கப்பாதைக்கு எதை வழிமாற்ற வேண்டும் எனக் கூறுகிறது; நுழைவாயிலில் இந்த peer எந்த மூல முகவரிகளைப் பயன்படுத்தலாம் எனக் கூறுகிறது, அவை வெவ்வேறு கூற்றுகள்.

அனுப்புதல், தீச்சுவர் விதிகள் மற்றும் நிர்வாகப் பிணையத்திற்குத் திரும்பும் பாதை ஆகியவை இன்னும் அனுமதிக்கப்பட்ட அணுகலை அனுமதிக்க வேண்டும். பதிவு செய்யப்பட்ட peer அதற்குப் பின்னால் உள்ள ஒவ்வொரு பயன்பாட்டிற்கும் அனுமதி அல்ல.

படி 4: பதிவை வாழ்க்கைச் சுழற்சி நிலையாக உறுதிப்படுத்துங்கள்

ஒவ்வொரு உள்ளமைவின் உரிமையாளர் மூலம் நுழைவாயில் பதிவையும் சாதனச் சுயவிவரத்தையும் பயன்படுத்துங்கள், பின்னர் எண்ணிய அடையாளமும் முகவரியும் ஏற்கப்பட்டால் மட்டுமே பதிவை முழுமையானதாகக் குறியுங்கள். மீண்டும் முயற்சிகள் இரண்டாவது peer அல்லது இரண்டாவது முகவரியை ஒதுக்குவதற்குப் பதிலாக அதே பதிவை ஒருங்கிணைக்க வேண்டும்.

தடைப்பட்ட வழங்கலுக்கான மீட்புப் பாதையை வைத்திருங்கள், நுழைவாயில் விசையை ஏற்றுக்கொண்டு சாதனம் ஒருபோதும் தன் சுயவிவரத்தை எழுதாத நிலையும் உட்பட.

பலகை மாற்றப்பட்டாலோ ஓய்வு பெற்றாலோ, அதன் பொது விசையையும் அதன் அனுமதியையும் ஒன்றாக நீக்குங்கள். புதிய விசை வேண்டுமென்றே செய்யப்பட்ட மறுபதிவு நிகழ்வு, மறுபடிமமாக்கத்தின் பக்க விளைவு அல்ல. வேலை வரிசை: உள்ளூரில் உருவாக்குங்கள், சரக்குப் பட்டியலுக்கு எதிராக அனுமதியுங்கள், இரு பக்கங்களையும் எழுதுங்கள், நிலையை உறுதிப்படுத்துங்கள், பின்னர் சுரங்கப்பாதை வழியாக ஒரு நிர்வாகக் கோரிக்கையைச் சோதியுங்கள்.