Gumawa ng WireGuard key pair nang lokal: mga utos at pag-iingat

Dalawang utos ang gumagawa ng WireGuard key pair at parehong kasama ng mga karaniwang tool, kaya hindi kailangan ng gawaing ito ang website na nag-aalok na gumawa ng key para sa iyo. Ang nasisira ay hindi kailanman ang curve arithmetic; ito ang mga permission bit, ang lugar kung saan lumalapag ang file, at ang ipinapadala pagkatapos sa kabilang dulo. Nagsisimula ang pagkakasunod-sunod sa ibaba sa isang walang laman na direktoryo at nagtatapos sa isang peer na nagdadala ng traffic. Basahin ito nang isang beses bago patakbuhin, dahil ang unang linya ay may saysay lamang kung ang susunod ay tatakbo sa parehong shell.

Paggawa ng pares sa isang shell

Nililimitahan ng dokumentadong workflow ang paggawa ng file bago pa umiral ang pribadong halaga, at pagkatapos ay hinango mula rito ang pampublikong halaga. Ang tatlong linya ay magkasama sa isang shell session:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey ay nagsusulat ng 32-byte na Curve25519 private key sa base64; binabasa ito ng wg pubkey at hinango ang katumbas na public key, at ang tee ay nag-iimbak ng pribadong halaga habang ipinapasa ito pababa sa pipe. Ang pagkakasunod-sunod na iyon ang dahilan kung bakit nauuna ang linya ng permission, at kung bakit tahimik na nawawala ito kapag na-paste ang pipeline sa pangalawang terminal. Illustrative ang mga pangalan ng file, at ang mahalaga ay parehong file ay lumapag sa lugar na kontrolado ng device na may-ari. Kung mayroon nang private file na may default na permission, inaayos ng chmod 600 privatekey ang kasalukuyang file at wala itong ginagawa sa mga kopyang ginawa kanina.

Panatilihin ang pribadong kalahati sa isang device

Ang pribadong halaga ay pag-aari ng machine na magmamay-ari ng identity, sa isang direktoryo na pinoprotektahan ng machine na iyon at itinuturing ng mga backup nito na credential. Hindi ito nababagay sa shared folder, sa mensaheng ipinadala sa sarili, o sa snippet na nakalakip sa support ticket, at ang naka-embed na kopya ay ginagawang kasing-sensitibo ng key ang configuration file. Ang key na nanirahan sa tatlong lugar ay hindi na maisasaalang-alang sa ibang pagkakataon, at iyon ang praktikal na dahilan para panatilihin ito sa isa.

Ang sadyang pagsira sa retiradong file ay bahagi ng parehong ugali. Ang pag-iiwan nito sa download folder hanggang may makapansin ay hindi.

Ano ang kailangan ng operator ng peer mula sa iyo

Kailangan ng kabilang panig ang pampublikong halaga at ang kaayusan ng address na pinili ng operator nito, wala nang iba. Ipadala ang pampublikong string na iyon sa channel na inaasahan ng operator, pagkatapos ay kumpirmahin kung aling peer entry ito naikabit bago ito subukan ng sinuman, dahil ang tamang key sa maling seksyon ay nabigo sa paraang mukhang problema sa key. Ipadala ito bilang isang linya na hindi nakatiklop, dahil ang key na nabalisa sa dalawang linya ay dumidikit sa configuration file nang walang reklamo at pagkatapos ay hindi kailanman tumutugma.

Ang paggawa ng key ay walang pinapahintulutan sa sarili nito. Kailangang i-configure ang peer para tanggapin ito, at ang hakbang ng configuration ay pag-aari ng sinumang nagpapatakbo sa dulong iyon.

Subukan ang pares sa isang tunay na pagpapalitan

Ang key pair ay tumutukoy sa isang dulo ng tunnel; wala itong ginagawang ruta, entry sa resolver, tuntunin sa pagpapasa o pahintulot sa firewall. Kapag na-provision na ang peer, subukan ang pagpapalitan at hindi ang file: isang handshake na lumilitaw sa wg show, isang address na tumutugon sa loob ng tunnel, at isang kahilingan ng application na nakadepende sa ruta. Ang tatlong iyon ay naghihiwalay ng maling key mula sa tamang key at sa nawawalang landas.

Panatilihin ang isang identity bawat device kapag pinapayagan ng deployment, upang ang nawalang unit ay maaaring bawiin nang mag-isa sa halip na pilitin ang lahat na gumawa muli ng key. Ang desisyong iyon din ang gumagawang ligtas na patakbuhin ang pamamaraan ng pagpapalit sa ibaba.

Pagpapalit ng key nang walang agwat

Gumawa ng kapalit sa device, idagdag ang bagong public key bilang karagdagang peer, kumpirmahin na nagdadala ito ng traffic, at pagkatapos lamang alisin ang luma. Ang paggawa nito sa ganoong pagkakasunod-sunod ay nangangahulugang ang tunnel ay walang sandaling walang valid na identity, at ang rollback ay simpleng pagtanggal ng entry na kaiidagdag mo lang.

Panatilihin ang pinalitang private file hanggang makumpirma ang bagong peer, pagkatapos ay sadyang sirain ito. Ang mabilis na simula ng WireGuard ay ang sanggunian para sa mga utos mismo, at sapat itong maikli upang basahin nang buo bago ka magsimula.