మొదటి బూట్‌లో WireGuard పరికరాల సమూహానికి నమోదు

బోర్డ్ సాధారణ ఇమేజ్ నుండి బూట్ అవుతుంది, DHCP లీజ్ పొందుతుంది, మరియు ఎవరూ పరికరాన్ని తాకకముందే ప్రొవిజనింగ్ స్క్రిప్ట్ నడుస్తుంది. ఆ స్క్రిప్ట్‌లో ఎక్కడో ఇది ఈ బోర్డుకే చెందిన మరియు మరే ఇతరానికి చెందని WireGuard గుర్తింపును పొందాలి, ఆ గుర్తింపును అనుమతింపజేయాలి, మరియు గేట్‌వే అంగీకరించే ప్రొఫైల్ రాయాలి. ఇమేజ్ క్లయింట్ సాఫ్ట్‌వేర్, సమీక్షించిన టెంప్లేట్ మరియు గేట్‌వే యొక్క పబ్లిక్ కీని మోయగలదు. ఇది ఎప్పుడూ మోయకూడనిది మొత్తం సమూహం పంచుకునే ఒకే ప్రైవేట్ కీ, ఎందుకంటే అది దొంగిలించబడిన ఒక బోర్డును మొత్తం సమూహానికి సంబంధించిన సంఘటనగా మారుస్తుంది. క్రింది క్రమం గుర్తింపును స్థానికంగా మరియు అనుమతిని స్పష్టంగా ఉంచుతుంది.

ఇమేజ్ ఏమి మోస్తుంది, ఏమి మోయదు

ప్యాకేజీ, ప్లేస్‌హోల్డర్లతో కూడిన టెంప్లేట్, గేట్‌వే యొక్క పబ్లిక్ కీ మరియు నమోదు క్లయింట్‌ను పంపండి. టెంప్లేట్ ఒక ఆకారం, రహస్యం కాదు: అది ప్రొవిజనింగ్ వినియోగదారుకు చదవగలిగేదిగా ఉండాలి మరియు ఎటువంటి కీ పదార్థం ఉండకూడదు.

ప్రైవేట్ కీ మొదటి బూట్‌లో పరికరంలోనే ఉత్పత్తి అవుతుంది మరియు దానిని ఎప్పుడూ విడిచిపెట్టదు. పబ్లిక్ సగం మాత్రమే ప్రయాణిస్తుంది, పరికరం తాను ఎవరు అనే దానిపై తన స్వంత దావా కాకుండా వేరే దానితో అనుమతించబడే నమోదు అభ్యర్థన లోపల. ఈ భేదమే దొంగిలించబడిన బోర్డు మొత్తం సమూహానికి సమస్య కాకుండా నిరోధిస్తుంది. మరియు ఇదే భాగాన్ని చాలా మంది మొదటి-బూట్ స్క్రిప్ట్‌లు తప్పుగా చేస్తాయి.

దశ 1: కీని స్థానికంగా ఉత్పత్తి చేయండి

అంతర్లీన నెట్‌వర్క్ కనెక్షన్ ఆమోదించబడి పనిచేసిన తర్వాత రక్షిత డైరెక్టరీలో ఉత్పత్తిని నడపండి. సబ్‌షెల్ umask మార్పును ఈ కార్యకలాపానికే స్థానికంగా ఉంచుతుంది, మరియు set -C ఉన్న ఫైల్‌ను తిరిగి రాయడానికి నిరాకరిస్తుంది:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard శీఘ్ర ప్రారంభం ఈ రెండు ఆదేశాలు ఆధారపడే కీ-ఉత్పత్తి సంబంధాన్ని నమోదు చేస్తుంది. ఉత్పత్తి ఆగిపోతే, పరికరాన్ని నమోదు కానిదిగా వదిలి పని ప్రవాహం ఫైళ్లను సరిపోల్చనివ్వండి. స్క్రిప్ట్ ప్రారంభం నుండి శుభ్రంగా నడవాలని మాత్రమే ఉన్న గుర్తింపును తొలగించవద్దు.

తిరిగి ప్రయత్నాల మధ్య పెండింగ్ కీని ఉంచండి. ప్రతి తాత్కాలిక నెట్‌వర్క్ వైఫల్యం తర్వాత గుర్తింపును మళ్లీ ఉత్పత్తి చేయడమే సమూహం ఎవరూ పరికరంతో సరిపోల్చలేని అనాథ peer‌లతో మిగిలే మార్గం.

దశ 2: పరికర రికార్డును అనుమతించండి

ఇన్వెంటరీ ఈ బోర్డును device-042 అని పిలుస్తుందని మరియు దానికి 10.90.0.42/32 కేటాయిస్తుందని అనుకుందాం. నమోదు సేవ ఈ అభ్యర్థికి ఆ రికార్డుపై హక్కు ఉందని ధృవీకరించాలి. ఫారమ్‌లో టైప్ చేసిన సీరియల్ నంబర్ సాక్ష్యం కాదు, ఎందుకంటే సీరియల్ నంబర్లు పెట్టె బయట ముద్రించబడతాయి.

ప్రతి-పరికర బూట్‌స్ట్రాప్ ఆధారం, ఆపరేటర్ ఆమోదం, లేదా హార్డ్‌వేర్-మద్దతు ఉన్న ధృవీకరణ దావాను స్థాపించగలవు. అభ్యర్థన యొక్క సమగ్రతను మరియు ప్రతిస్పందన యొక్క ప్రామాణికతను రక్షించండి, మరియు ఒక పంచుకున్న VPN రహస్యాన్ని ఒక పంచుకున్న ఫ్యాక్టరీ ఆధారంతో భర్తీ చేయవద్దు.

నమోదైన రికార్డు పరికరాన్ని, దాని పబ్లిక్ కీని, కేటాయించిన చిరునామాను మరియు అనుమతించిన నిర్వహణ పాత్రను బంధిస్తుంది. WireGuard స్వయంగా ఎటువంటి నమోదు APIని నిర్వచించదు, కాబట్టి ఆ సేవ మీరు ఉద్దేశపూర్వకంగా నిర్మించి నిర్వహించేది.

దశ 3: సరిపోలే రెండు కాన్ఫిగరేషన్‌లను రాయండి

పరికరానికి నిర్వహణ ప్రిఫిక్స్‌లను టన్నెల్‌లోకి రూట్ చేసే ప్రొఫైల్ కావాలి, మరియు గేట్‌వేకు ఈ పరికరం యొక్క స్వంత మూల చిరునామాను మాత్రమే అనుమతించే peer ఎంట్రీ కావాలి. గేట్‌వే 10.90.0.1లో మరియు నిర్వహణ నెట్‌వర్క్ 10.60.0.0/16 ఉన్నప్పుడు పరికరం వైపు ఇలా కనిపిస్తుంది:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

బ్రాకెట్లలోని విలువలు ప్లేస్‌హోల్డర్లు, కీలు కావు. బోర్డ్ NAT వెనుక ఉండి చేరుకోగలిగేలా ఉండాల్సినప్పుడు keepalive ముఖ్యం; అది అన్ని చోట్లా అవసరం లేదు, మరియు అలవాటుతో జోడించడం కారణం లేకుండా రేడియోను మేల్కొని ఉంచుతుంది.

గేట్‌వేలో, peer ఎంట్రీ ఉద్దేశపూర్వకంగా ఇరుకైనది:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

పరికరం యొక్క గమ్యస్థాన జాబితాను గేట్‌వే peerకు కాపీ చేయవద్దు. పరికరంలో ఆ జాబితా టన్నెల్‌లోకి ఏమి రూట్ చేయాలో చెబుతుంది; గేట్‌వేలో ఈ peer ఏ మూల చిరునామాలను ఉపయోగించవచ్చో చెబుతుంది, మరియు అవి వేర్వేరు ప్రకటనలు.

ఫార్వర్డింగ్, ఫైర్‌వాల్ నియమాలు మరియు నిర్వహణ నెట్‌వర్క్‌కు తిరిగి వెళ్లే మార్గం ఇంకా ఆమోదించిన ప్రాప్యతను అనుమతించాలి. నమోదైన peer దాని వెనుక ఉన్న ప్రతి అనువర్తనానికి అనుమతి కాదు.

దశ 4: నమోదును జీవిత చక్ర స్థితిగా స్థిరపరచండి

ప్రతి కాన్ఫిగరేషన్ యజమాని ద్వారా గేట్‌వే రికార్డు మరియు పరికర ప్రొఫైల్‌ను వర్తింపజేయండి, తర్వాత ఉద్దేశించిన గుర్తింపు మరియు చిరునామా అంగీకరించబడినప్పుడే నమోదును పూర్తిగా గుర్తించండి. తిరిగి ప్రయత్నాలు రెండవ peer లేదా రెండవ చిరునామాన్ని కేటాయించడానికి బదులు అదే రికార్డును సరిపోల్చాలి.

అంతరాయం కలిగిన ప్రొవిజనింగ్ కోసం పునరుద్ధరణ మార్గాన్ని ఉంచండి, గేట్‌వే కీని అంగీకరించి పరికరం ఎప్పుడూ తన ప్రొఫైల్ రాయని సందర్భంతో సహా.

బోర్డ్ మార్చబడినప్పుడు లేదా పదవీ విరమణ చేసినప్పుడు, దాని పబ్లిక్ కీని మరియు దాని అనుమతిని కలిసి తొలగించండి. కొత్త కీ ఉద్దేశపూర్వక పునర్నమోదు సంఘటన, తిరిగి ఇమేజ్ చేయడం యొక్క పక్కప్రభావం కాదు. పని క్రమం: స్థానికంగా ఉత్పత్తి చేయండి, ఇన్వెంటరీకి వ్యతిరేకంగా అనుమతించండి, రెండు వైపులా రాయండి, స్థితిని స్థిరపరచండి, తర్వాత టన్నెల్ ద్వారా ఒక నిర్వహణ అభ్యర్థనను పరీక్షించండి.