İlk açılış: bir WireGuard cihaz filosu için kayıt

Tek imaj, kart başına tek anahtar ve cihazın kendi iddiasına güvenmeyen bir yetkilendirme adımı. Açılıştan onaylanmış peer'a kadar dört aşama.

Kart ortak imajdan açılır, bir DHCP kirası alır ve kimse cihaza dokunmadan önce bir hazırlık betiği çalışır. O betiğin bir yerinde yalnızca bu karta ait olan ve başka hiçbirine ait olmayan bir WireGuard kimliği edinmeli, o kimliği yetkilendirmeli ve ağ geçidinin kabul edeceği bir profil yazmalıdır. İmaj istemci yazılımını, gözden geçirilmiş bir şablonu ve ağ geçidinin açık anahtarını taşıyabilir. Asla taşımaması gereken şey tüm filonun paylaştığı tek bir özel anahtardır, çünkü bu tek bir çalınmış kartı tüm filo için olaya dönüştürür. Aşağıdaki sıra kimliği yerel, yetkilendirmeyi açık tutar.

İmaj neyi taşır, neyi taşımaz

Paketi, yer tutucuları olan şablonu, ağ geçidinin açık anahtarını ve kayıt istemcisini gönderin. Şablon bir biçimdir, sır değildir: hazırlık kullanıcısı tarafından okunabilmeli ve hiçbir anahtar malzemesi içermemelidir.

Özel anahtar ilk açılışta cihazda üretilir ve onu asla terk etmez. Yalnızca açık yarısı yolculuk eder, cihazın kendisi hakkındaki kendi iddiasından başka bir şeyle yetkilendirilen bir kayıt isteğinin içinde. Bu ayrım, çalınmış bir kartın tüm filo için sorun olmasını engeller. Ve ilk açılış betiklerinin çoğunun yanlış yaptığı kısım da burasıdır.

Adım 1: anahtarı yerel olarak üretin

Üretimi, alttaki ağ bağlantısı onaylanıp çalıştıktan sonra korumalı bir dizinde çalıştırın. Alt kabuk umask değişikliğini bu işlemle sınırlı tutar ve set -C var olan bir dosyanın üzerine yazmayı reddeder:

(
    umask 077
    set -C
    wg genkey > /etc/wireguard/device.key &&
        wg pubkey < /etc/wireguard/device.key > /etc/wireguard/device.pub
)

WireGuard hızlı başlangıç bu iki komutun dayandığı anahtar üretim ilişkisini belgeler. Üretim kesintiye uğrarsa cihazı kayıtsız bırakın ve iş akışının dosyaları uzlaştırmasına izin verin. Betiğin baştan temiz çalışması uğruna var olan bir kimliği silmeyin.

Bekleyen anahtarı yeniden denemeler arasında koruyun. Her geçici ağ arızasından sonra kimliği yeniden üretmek, bir filonun kimsenin bir cihazla eşleştiremediği yetim peer'larla kalmasının yoludur.

Adım 2: bir cihaz kaydını yetkilendirin

Envanterin bu kartı device-042 olarak adlandırdığını ve ona 10.90.0.42/32 atadığını varsayın. Kayıt hizmeti bu istekte bulunanın o kayda hakkı olduğunu doğrulamalıdır. Bir forma yazılan seri numarası kanıt değildir, çünkü seri numaraları kutunun dışına basılır.

Cihaz başına bir önyükleme kimlik bilgisi, bir operatör onayı veya donanımla desteklenen bir kanıtlama iddiayı tesis edebilir. İsteğin bütünlüğünü ve yanıtın gerçekliğini koruyun ve tek bir paylaşılan VPN sırrını tek bir paylaşılan fabrika kimlik bilgisiyle değiştirmeyin.

Kayıtlı kayıt cihazı, açık anahtarını, atanan adresini ve izin verilen yönetim rolünü birbirine bağlar. WireGuard'ın kendisi herhangi bir kayıt API'si tanımlamaz, bu yüzden o hizmet bilinçli olarak kurduğunuz ve işlettiğiniz bir şeydir.

Adım 3: birbiriyle uyumlu iki yapılandırma yazın

Cihazın yönetim öneklerini tünele yönlendiren bir profile ihtiyacı vardır ve ağ geçidinin yalnızca bu cihazın kendi kaynak adresine izin veren bir peer girdisine ihtiyacı vardır. Ağ geçidi 10.90.0.1'de ve yönetim ağı 10.60.0.0/16 iken cihaz tarafı şöyle görünür:

[Interface]
PrivateKey = <device-042 private key>
Address = 10.90.0.42/32

[Peer]
PublicKey = <trusted gateway public key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.90.0.1/32, 10.60.0.0/16
PersistentKeepalive = 25

Köşeli ayraç içindeki değerler yer tutucudur, anahtar değil. Keepalive, kart NAT'ın arkasındayken ve erişilebilir kalması gerektiğinde önemlidir; her yerde gerekli değildir ve alışkanlıktan eklemek bir radyoyu sebepsiz uyanık tutar.

Ağ geçidinde peer girdisi kasıtlı olarak dardır:

[Peer]
PublicKey = <device-042 public key>
AllowedIPs = 10.90.0.42/32

Cihazın hedef listesini ağ geçidinin peer girdisine kopyalamayın. Cihazda bu liste tünele neyin yönlendirileceğini söyler; ağ geçidinde bu peer'ın hangi kaynak adreslerini kullanabileceğini söyler ve bunlar farklı ifadelerdir.

Yönlendirme, güvenlik duvarı kuralları ve yönetim ağına dönüş yolu hâlâ onaylanmış erişime izin vermelidir. Kayıtlı bir peer, arkasındaki her uygulama için izin değildir.

Adım 4: kaydı yaşam döngüsü durumu olarak teyit edin

Ağ geçidi kaydını ve cihaz profilini her yapılandırmanın sahibi aracılığıyla uygulayın, sonra kaydı yalnızca amaçlanan kimlik ve adres kabul edildiğinde tamamlandı olarak işaretleyin. Yeniden denemeler ikinci bir peer veya ikinci bir adres tahsis etmek yerine aynı kaydı uzlaştırmalıdır.

Kesintiye uğramış hazırlık için bir kurtarma yolu tutun; ağ geçidinin anahtarı kabul ettiği ve cihazın profilini hiç yazmadığı durum da buna dahildir.

Bir kart değiştirildiğinde veya hizmetten çıkarıldığında, açık anahtarını ve yetkilendirmesini birlikte kaldırın. Yeni anahtar kasıtlı bir yeniden kayıt olayıdır, yeniden imajlamanın yan etkisi değildir. İş sırası: yerel olarak üretin, envantere karşı yetkilendirin, iki tarafı yazın, durumu teyit edin, sonra tünel üzerinden bir yönetim isteğini sınayın.

İlgili makaleler