WireGuard kalit juftini mahalliy ravishda yarating: buyruqlar va ehtiyotkorlik

Ikki buyruq WireGuard kalit juftini yaratadi va ikkisi ham standart asboblar bilan keladi, shuning uchun bu vazifa siz uchun kalit yasashni taklif qiladigan veb-saytga muhtoj emas. Buziladigan narsa hech qachon egri chiziq arifmetikasi emas; bu ruxsat bitlari, fayl tushadigan joy va keyin narigi tomonga yuboriladigan narsa. Quyidagi ketma-ketlik bo‘sh katalogda boshlanadi va trafik tashiyotgan hamkorda tugaydi. Ishga tushirishdan oldin bir marta o‘qing, chunki birinchi qator faqat keyingisi o‘sha shell ichida ishlasagina ahamiyatga ega.

Juftni bitta shell ichida yaratish

Hujjatlashtirilgan ish oqimi shaxsiy qiymat paydo bo‘lishidan oldin fayl yaratishni cheklaydi, so‘ngra undan ochiq qiymatni chiqaradi. Uch qator ham bitta shell seansiga tegishli:

umask 077  # applies to files created next, so keep the next line in this shell
wg genkey | tee privatekey | wg pubkey > publickey
wg pubkey < privatekey  # re-derive and compare with publickey

wg genkey 32 baytli Curve25519 shaxsiy kalitini base64 ko‘rinishida yozadi; wg pubkey uni o‘qib, mos ochiq kalitni chiqaradi, tee esa shaxsiy qiymatni saqlab, uni quvur orqali pastga uzatadi. Aynan shu tartib ruxsat qatori birinchi kelishining va quvur liniyasini ikkinchi terminalga qo‘yish uni jimgina yo‘qotishining sababidir. Fayl nomlari misol uchun, muhimi ikkala fayl ham egallovchi qurilma nazorat qiladigan joyga tushishi. Agar shaxsiy fayl allaqachon standart ruxsatlar bilan mavjud bo‘lsa, chmod 600 privatekey joriy faylni tuzatadi va avval olingan nusxalar haqida hech narsa qilmaydi.

Shaxsiy yarmini bitta qurilmada saqlang

Shaxsiy qiymat identifikatsiyaga ega bo‘ladigan mashinaga tegishli, o‘sha mashina himoya qiladigan va uning zaxira nusxalari ishonchnoma sifatida qaraydigan katalogda. U umumiy jildda, o‘zingizga yuborilgan xabarda yoki qo‘llab-quvvatlash chiptasiga ilova qilingan parchada bo‘lmasligi kerak, ichiga joylangan nusxa esa konfiguratsiya faylini kalit kabi nozik qiladi. Uch joyda yashagan kalitni keyin o‘ylab ko‘rish mumkin emas, va uni bitta joyda saqlashning amaliy sababi shu.

Ishdan chiqarilgan faylni ataylab yo‘q qilish xuddi shu odatning bir qismi. Kimdir payqaguncha uni yuklab olishlar jildida qoldirish unday emas.

Hamkor operatori sizdan nimani talab qiladi

Narigi tomon ochiq qiymat va uning operatori tanlagan manzil tartibini talab qiladi, boshqa hech narsani. O‘sha ochiq satrni operator kutgan kanal orqali yuboring, so‘ngra kimdir uni sinashdan oldin qaysi hamkor yozuviga biriktirilganini tasdiqlang, chunki noto‘g‘ri bo‘limdagi to‘g‘ri kalit kalit muammosiga o‘xshab ko‘rinadigan tarzda muvaffaqiyatsiz bo‘ladi. Uni bitta buklanmagan qator sifatida yuboring, chunki ikki qatorga bo‘lingan kalit konfiguratsiya fayliga shikoyatsiz yopishadi va keyin hech qachon mos kelmaydi.

Kalit yaratish o‘z-o‘zidan hech narsaga ruxsat bermaydi. Hamkorni uni qabul qilishga sozlash kerak, sozlash bosqichi esa o‘sha tomonni boshqaradigan kishiga tegishli.

Juftni haqiqiy almashinuv bilan sinang

Kalit jufti tunnelning bir uchini aniqlaydi; u marshrut, hal qiluvchi yozuvi, uzatish qoidasi yoki tarmoq ekrani ruxsatini yaratmaydi. Hamkor tayyorlangach, faylni emas, almashinuvni sinang: wg show chiqishida ko‘rinadigan qo‘l berish, tunnel ichida javob beradigan manzil va marshrutga bog‘liq bitta dastur so‘rovi. Shu uchtalik noto‘g‘ri kalitni to‘g‘ri kalitdan va yetishmayotgan yo‘ldan ajratadi.

Joylashtirish ruxsat berganida har bir qurilma uchun bitta identifikatsiya saqlang, shunda yo‘qolgan birlikni alohida bekor qilish mumkin bo‘ladi, hammani yana kalit yaratishga majburlamasdan. Shu qaror quyidagi almashtirish tartibini xavfsiz ishga tushirishga ham yordam beradi.

Kalitni bo‘shliqsiz almashtirish

O‘rinbosarni qurilmada yarating, yangi ochiq kalitni qo‘shimcha hamkor sifatida qo‘shing, u trafik tashiyotganini tasdiqlang va shundan keyingina eskisini olib tashlang. Shu tartibda qilish tunnelning hech qachon amaldagi identifikatsiyasiz lahzasi bo‘lmasligini bildiradi, qaytarish esa hozir qo‘shgan yozuvni o‘chirishdir.

Yangi hamkor tasdiqlanmaguncha almashtirilgan shaxsiy faylni saqlang, so‘ngra uni ataylab yo‘q qiling. WireGuard tezkor boshlanishi buyruqlarning o‘zi uchun manba, va boshlashdan oldin to‘liq o‘qish uchun yetarlicha qisqa.