wireguard-initramfs

استخدم dropbear عبر wireguard.

يتيح تشغيل شبكات wireguard أثناء إقلاع النواة، قبل تركيب الأقسام المشفّرة. عند دمجه مع dropbear يمكن أن يتيح إقلاعًا عن بُعد مشفّرًا بالكامل دون تخزين مواد المفاتيح أو كشف المنافذ على الشبكة البعيدة. كل ما يلزم هو وجود اتصال بالإنترنت يمكنه الوصول إلى نقطة نهاية خادم wireguard.

يمكن استخدام اتصالات dropbear العادية ودقة DNS للعثور على نقاط نهاية wireguard. هذا يمكّن أساسًا من إنشاء عقدة مُدارة عن بُعد ومشفّرة بالكامل، مع إمكانية منع كل الوصول المحلي.

المتطلبات

معرفة عملية بنظام Linux. وفهم لشبكات الاتصال وWireguard.

1. Debian Bullseye/Bookworm (أي إصدار يدعم wireguard يجب أن يعمل، لكنه غير مختبر).
2. Wireguard مثبّتًا ومهيأً وفي حالة "عمل معروفة".

البدء

التثبيت مدعوم عبر make. قم بتنزيل المحتويات وفك ضغطها وتهيئتها، ثم ثبّتها على الجهاز الهدف.

التنزيل

احصل على أحدث إصدار وفك ضغطه.

RELEASE=$(curl -Ls -o /dev/null -w %{url_effective} https://github.com/r-pufky/wireguard-initramfs/releases/latest | tr "/" "\n" | tail -n 1)
wget https://github.com/r-pufky/wireguard-initramfs/archive/refs/tags/"${RELEASE}".tar.gz
tar xvf "${RELEASE}".tar.gz
cd wireguard-initramfs-"${RELEASE}"

الإعداد

يحتوي ملف configs/initramfs على متغيرات مبنية على اتصال wireguard العامل لديك. راجع صفحة man الخاصة بـ wg set لمزيد من المعلومات.

التثبيت

make install

⚠️

معظم عمليات التثبيت لا تشفّر حاليًا /boot؛ ولذلك يجب اعتبار المفتاح الخاص للعميل غير موثوق/مخترقًا. يُنصح بشدة باستخدام شبكة wireguard من نقطة إلى نقطة منفصلة مع حظر مناسب للمنافذ لفتح القفل عن بُعد.

أعد بناء initramfs للاستخدام باستخدام أي من هذه الطرق:

make build_initramfs  # Debian
make build_initramfs_rpi  # Raspberry Pi
update-initramfs -u -k all && update-grub  # Manual build
reboot

أي أخطاء ثابتة ستوقف البناء. الأخطاء في الإعدادات لن يتم اكتشافها. تأكد من الاختبار بينما لا تزال لديك صلاحية الوصول الفعلي إلى الجهاز.

Dropbear

يمكن دمج wireguard-initramfs مع dropbear لتمكين فتح قفل النظام عن بُعد دون الحاجة إلى التحكم في الشبكة البعيدة، أو معرفة عنوان IP العام لذلك النظام. كما ينشئ نفقًا مشفّرًا لا يعتمد على الثقة قبل محاولة اتصالات SSH.

المتطلبات

1. Dropbear مثبّتًا ومهيأً وفي حالة "عمل معروفة".

الإعداد

اضبط dropbear لاستخدام جميع واجهات الشبكة لضمان عمل فتح القفل عن بُعد عبر wireguard أولًا. ثم قيّده على شبكة wireguard بمجرد أن تعمل:

/etc/dropbear/initramfs/config

DROPBEAR_OPTIONS='... -p 172.31.255.10:22 ...'

التوافق القديم (الترحيل)

إذا كنت مستخدمًا لإصدار سابق، مثل الإصدار المؤرّخ 2023-10-21، يمكنك تحديث مشاريعك الحالية بتشغيل:

sudo bash scripts/migrate_project_structure.sh
make install
make build_initramfs

تقع إعدادات المحول في /etc/wireguard/initramfs.conf وإعدادات initramfs في /etc/wireguard/initramfs.

سيحافظ هذا على بنية مشروعك ومحتوياته سليمة؛ ومع ذلك، يلزم التحقق اليدوي لأن إعدادات محول wireguard الكاملة أصبحت مدعومة الآن.

أخطاء / تصحيحات / مساهمات؟

كل ذلك مرحّب به، يرجى تقديم طلب سحب (pull request) أو فتح خطأ (bug)!

هل تعرف تغليف دبيان؟ أنشئ حزمة .deb لهذا!