কেন আপনার ওয়্যারগার্ড ব্যবহার করা উচিত নয়

ওয়্যারগার্ড ইদানীং অনেক মনোযোগ আকর্ষণ করছে, আসলে এটি ভিপিএনগুলির মধ্যে নতুন তারকা। কিন্তু সে কি তাকে যতটা ভালো মনে হয়? আইপিসেক বা ওপেনভিপিএন প্রতিস্থাপন করা কেন সমাধান নয় তা ব্যাখ্যা করার জন্য আমি কিছু পর্যবেক্ষণ নিয়ে আলোচনা করতে চাই এবং ওয়্যারগার্ডের বাস্তবায়ন পর্যালোচনা করতে চাই।

এই নিবন্ধে, আমি [ওয়্যারগার্ডের চারপাশে] কিছু পৌরাণিক কাহিনী তুলে ধরতে চাই। হ্যাঁ, এটি পড়তে অনেক সময় লাগবে, তাই আপনি যদি নিজেকে এক কাপ চা বা কফি তৈরি না করে থাকেন তবে এটি করার সময় এসেছে। আমি আমার বিশৃঙ্খল চিন্তা সংশোধন করার জন্য পিটারকে ধন্যবাদ জানাতে চাই।

আমি ওয়্যারগার্ডের বিকাশকারীদের অসম্মান করার, তাদের প্রচেষ্টা বা ধারনাকে অবমূল্যায়ন করার লক্ষ্য নির্ধারণ করি না। তাদের পণ্য কাজ করছে, কিন্তু ব্যক্তিগতভাবে আমি মনে করি যে এটি আসলে যা তা থেকে সম্পূর্ণ ভিন্ন উপস্থাপন করা হয়েছে - এটি আইপিসেক এবং ওপেনভিপিএন-এর প্রতিস্থাপন হিসাবে উপস্থাপন করা হয়েছে, যা আসলে এখন বিদ্যমান নেই।

একটি নোট হিসাবে, আমি যোগ করতে চাই যে ওয়্যারগার্ডের এই ধরনের অবস্থানের জন্য দায়বদ্ধতা মিডিয়ার উপর বর্তায় যারা এটি সম্পর্কে কথা বলেছে, এবং প্রকল্প নিজেই বা এর নির্মাতাদের নয়।

ইদানীং লিনাক্স কার্নেল সম্পর্কে খুব একটা ভালো খবর নেই। সুতরাং, আমাদের প্রসেসরের ভয়ানক দুর্বলতা সম্পর্কে বলা হয়েছিল, যা সফ্টওয়্যার দ্বারা সমতল করা হয়েছিল এবং লিনাস টরভাল্ডস ডেভেলপারের উপযোগী ভাষায় এটি সম্পর্কে খুব অভদ্র এবং বিরক্তিকরভাবে কথা বলেছেন। একটি শিডিউলার বা শূন্য-স্তরের নেটওয়ার্কিং স্ট্যাকগুলিও চকচকে ম্যাগাজিনের জন্য খুব স্পষ্ট বিষয় নয়। এবং এখানে ওয়্যারগার্ড আসে।

কাগজে, এটি সব দুর্দান্ত শোনাচ্ছে: একটি উত্তেজনাপূর্ণ নতুন প্রযুক্তি।

কিন্তু এর একটু আরো ঘনিষ্ঠভাবে তাকান.

ওয়্যারগার্ড সাদা কাগজ

এই নিবন্ধটি উপর ভিত্তি করে অফিসিয়াল ওয়্যারগার্ড ডকুমেন্টেশনজেসন ডোনেনফেল্ড লিখেছেন। সেখানে তিনি লিনাক্স কার্নেলে [ওয়্যারগার্ড] এর ধারণা, উদ্দেশ্য এবং প্রযুক্তিগত বাস্তবায়ন ব্যাখ্যা করেন।

প্রথম বাক্যটি পড়ে:

ওয়্যারগার্ড […] লক্ষ্য বেশির ভাগ ক্ষেত্রে আইপিসেক এবং অন্যান্য জনপ্রিয় ইউজারস্পেস এবং/অথবা টিএলএস ভিত্তিক সমাধান যেমন ওপেনভিপিএনকে প্রতিস্থাপন করা এবং আরও নিরাপদ, পারফরম্যান্স এবং ব্যবহার করা সহজ [টুল]।

অবশ্যই, সমস্ত নতুন প্রযুক্তির প্রধান সুবিধা হল তাদের সরলতা [পূর্বসূরীদের তুলনায়]। তবে একটি ভিপিএনও হওয়া উচিত দক্ষ এবং নিরাপদ.

সুতরাং, পরবর্তী কি?

আপনি যদি বলেন যে এটি আপনার [ভিপিএন থেকে] প্রয়োজন নয়, তাহলে আপনি এখানে পড়া শেষ করতে পারেন। যাইহোক, আমি নোট করব যে এই ধরনের কাজগুলি অন্য কোনও টানেলিং প্রযুক্তির জন্য সেট করা হয়েছে।

উপরের উদ্ধৃতিগুলির মধ্যে সবচেয়ে আকর্ষণীয়টি "বেশিরভাগ ক্ষেত্রে" শব্দের মধ্যে রয়েছে, যা অবশ্যই প্রেস দ্বারা উপেক্ষা করা হয়েছিল। আর তাই, এই অবহেলার কারণে সৃষ্ট বিশৃঙ্খলার কারণে আমরা যেখানে শেষ হয়েছি - এই নিবন্ধে।

WireGuard কি আমার [IPsec] সাইট-টু-সাইট ভিপিএন প্রতিস্থাপন করবে?

না. সিসকো, জুনিপার এবং অন্যান্যদের মতো বড় বিক্রেতারা তাদের পণ্যগুলির জন্য ওয়্যারগার্ড ক্রয় করবে এমন কোনও সম্ভাবনা নেই। তারা চলাচলের সময় "পাসিং ট্রেনে লাফ" দেয় না যদি না এটি করার কিছু বড় প্রয়োজন হয়। পরে, আমি কিছু কারণ নিয়ে যাব কেন তারা সম্ভবত তাদের ওয়্যারগার্ড পণ্যগুলিকে বোর্ডে পেতে সক্ষম হবে না যদিও তারা চায়।

ওয়্যারগার্ড কি আমার রোড ওয়ারিয়রকে আমার ল্যাপটপ থেকে ডেটা সেন্টারে নিয়ে যাবে?

না. এই মুহুর্তে, ওয়্যারগার্ডের কাছে এটির মতো কিছু করতে সক্ষম হওয়ার জন্য বিশাল সংখ্যক গুরুত্বপূর্ণ বৈশিষ্ট্য প্রয়োগ করা হয়নি। উদাহরণস্বরূপ, এটি টানেল সার্ভারের দিকে গতিশীল আইপি ঠিকানাগুলি ব্যবহার করতে পারে না এবং এটি একা পণ্যটির এই জাতীয় ব্যবহারের পুরো দৃশ্যকে ভেঙে দেয়।

IPFire প্রায়ই সস্তা ইন্টারনেট লিঙ্কের জন্য ব্যবহৃত হয়, যেমন DSL বা তারের সংযোগ। এটি ছোট বা মাঝারি ব্যবসার জন্য বোধগম্য করে তোলে যাদের দ্রুত ফাইবারের প্রয়োজন নেই। [অনুবাদকের কাছ থেকে দ্রষ্টব্য: ভুলে যাবেন না যে যোগাযোগের ক্ষেত্রে, রাশিয়া এবং কিছু CIS দেশ ইউরোপ এবং মার্কিন যুক্তরাষ্ট্রের চেয়ে অনেক এগিয়ে, কারণ আমরা আমাদের নেটওয়ার্কগুলি তৈরি করতে শুরু করেছি অনেক পরে এবং ইথারনেট এবং ফাইবার অপটিক নেটওয়ার্কগুলির আবির্ভাবের সাথে স্ট্যান্ডার্ড, আমাদের জন্য পুনর্নির্মাণ করা সহজ ছিল। ইইউ বা মার্কিন যুক্তরাষ্ট্রের একই দেশগুলিতে, 3-5 এমবিপিএস গতিতে xDSL ব্রডব্যান্ড অ্যাক্সেস এখনও সাধারণ নিয়ম, এবং একটি ফাইবার অপটিক সংযোগের জন্য আমাদের মান অনুসারে কিছু অবাস্তব অর্থ ব্যয় হয়৷ অতএব, নিবন্ধের লেখক ডিএসএল বা তারের সংযোগের কথা বলেছেন আদর্শ হিসাবে, এবং প্রাচীনকাল নয়।] যাইহোক, DSL, কেবল, LTE (এবং অন্যান্য ওয়্যারলেস অ্যাক্সেস পদ্ধতি) গতিশীল আইপি ঠিকানা আছে। অবশ্যই, কখনও কখনও তারা প্রায়ই পরিবর্তন হয় না, কিন্তু তারা পরিবর্তন করে।

নামে একটি সাবপ্রজেক্ট আছে "ডব্লিউজি-ডাইনামিক", যা এই ঘাটতি কাটিয়ে উঠতে একটি ইউজারস্পেস ডেমন যোগ করে। উপরে বর্ণিত ব্যবহারকারীর দৃশ্যের সাথে একটি বিশাল সমস্যা হল গতিশীল IPv6 অ্যাড্রেসিং এর বৃদ্ধি।

পরিবেশকের দৃষ্টিকোণ থেকে, এই সব খুব ভাল দেখায় না। নকশা লক্ষ্যগুলির মধ্যে একটি ছিল প্রোটোকল সহজ এবং পরিষ্কার রাখা।

দুর্ভাগ্যবশত, এই সমস্ত আসলেই খুব সহজ এবং আদিম হয়ে উঠেছে, যাতে এই পুরো ডিজাইনটি বাস্তব ব্যবহারের জন্য কার্যকর হওয়ার জন্য আমাদের অতিরিক্ত সফ্টওয়্যার ব্যবহার করতে হবে।

WireGuard ব্যবহার করা এত সহজ?

এখনো না. আমি বলছি না যে ওয়্যারগার্ড কখনই দুটি পয়েন্টের মধ্যে টানেল করার জন্য একটি ভাল বিকল্প হবে না, তবে আপাতত এটি যে পণ্যের একটি আলফা সংস্করণ হওয়ার কথা।

কিন্তু তারপর তিনি আসলে কি করেন? IPsec কি সত্যিই বজায় রাখা অনেক কঠিন?

অবশ্যই না. IPsec বিক্রেতা এটি ভেবেছে এবং একটি ইন্টারফেস সহ তাদের পণ্য পাঠায়, যেমন IPFire এর সাথে।

IPsec এর উপর একটি VPN টানেল সেট আপ করতে, আপনার পাঁচ সেট ডেটার প্রয়োজন হবে যা আপনাকে কনফিগারেশনে প্রবেশ করতে হবে: আপনার নিজের সর্বজনীন IP ঠিকানা, গ্রহীতার পক্ষের সর্বজনীন IP ঠিকানা, যে সাবনেটগুলির মাধ্যমে আপনি সর্বজনীন করতে চান এই ভিপিএন সংযোগ এবং পূর্ব-ভাগ করা কী। এইভাবে, ভিপিএন কয়েক মিনিটের মধ্যে সেট আপ করা হয় এবং যেকোনো বিক্রেতার সাথে সামঞ্জস্যপূর্ণ।

দুর্ভাগ্যবশত, এই গল্পের কিছু ব্যতিক্রম আছে। যে কেউ IPsec ওপেনবিএসডি মেশিনে টানেল করার চেষ্টা করেছে সে জানে আমি কিসের কথা বলছি। আরও কিছু বেদনাদায়ক উদাহরণ আছে, কিন্তু আসলে, IPsec ব্যবহার করার জন্য অনেক, আরও অনেক ভাল অনুশীলন রয়েছে।

প্রোটোকল জটিলতা সম্পর্কে

শেষ ব্যবহারকারীকে প্রোটোকলের জটিলতা নিয়ে চিন্তা করতে হবে না।

যদি আমরা এমন একটি বিশ্বে বাস করতাম যেখানে এটি ব্যবহারকারীর প্রকৃত উদ্বেগ ছিল, তাহলে আমরা অনেক আগেই SIP, H.323, FTP এবং দশ বছরেরও বেশি আগে তৈরি করা অন্যান্য প্রোটোকলগুলি থেকে পরিত্রাণ পেতাম যেগুলি NAT-এর সাথে ভালভাবে কাজ করে না৷

আইপিসেক ওয়্যারগার্ডের চেয়ে জটিল হওয়ার কারণ রয়েছে: এটি আরও অনেক কিছু করে। উদাহরণস্বরূপ, একটি লগইন / পাসওয়ার্ড বা EAP সহ একটি সিম কার্ড ব্যবহার করে ব্যবহারকারীর প্রমাণীকরণ। এটা নতুন যোগ করার একটি বর্ধিত ক্ষমতা আছে ক্রিপ্টোগ্রাফিক আদিম.

এবং ওয়্যারগার্ডের সেটা নেই।

এবং এর মানে হল যে ওয়্যারগার্ড কিছু সময়ে ভেঙ্গে যাবে, কারণ ক্রিপ্টোগ্রাফিক আদিমগুলির একটি দুর্বল হয়ে যাবে বা সম্পূর্ণ আপস করা হবে। প্রযুক্তিগত ডকুমেন্টেশনের লেখক এটি বলেছেন:

এটা লক্ষণীয় যে ওয়্যারগার্ড ক্রিপ্টোগ্রাফিকভাবে মতামতযুক্ত। এটি ইচ্ছাকৃতভাবে সাইফার এবং প্রোটোকলের নমনীয়তার অভাব রয়েছে। যদি অন্তর্নিহিত আদিমগুলিতে গুরুতর গর্ত পাওয়া যায়, তবে সমস্ত শেষ পয়েন্ট আপডেট করতে হবে। আপনি SLL/TLS দুর্বলতার চলমান স্ট্রীম থেকে দেখতে পাচ্ছেন, এনক্রিপশনের নমনীয়তা এখন ব্যাপকভাবে বৃদ্ধি পেয়েছে।

শেষ বাক্যটি একেবারে সঠিক।

কোন এনক্রিপশন ব্যবহার করতে হবে সে বিষয়ে একমত হওয়া IKE এবং TLS এর মত প্রোটোকল তৈরি করে অধিক জটিল খুবই জটিল? হ্যাঁ, TLS/SSL-এ দুর্বলতাগুলি বেশ সাধারণ, এবং তাদের বিকল্প নেই৷

বাস্তব সমস্যা উপেক্ষা করা

কল্পনা করুন যে আপনার কাছে বিশ্বের কোথাও 200 জন যুদ্ধ ক্লায়েন্ট সহ একটি VPN সার্ভার রয়েছে। এটি একটি চমত্কার মান ব্যবহার ক্ষেত্রে. যদি আপনাকে এনক্রিপশন পরিবর্তন করতে হয়, তাহলে আপনাকে এই ল্যাপটপ, স্মার্টফোন এবং আরও অনেক কিছুতে WireGuard-এর সমস্ত কপি আপডেট দিতে হবে। একই সাথে বিতরণ এটা আক্ষরিকভাবে অসম্ভব। প্রশাসকরা এটি করার চেষ্টা করছেন তাদের প্রয়োজনীয় কনফিগারেশন স্থাপন করতে কয়েক মাস সময় লাগবে এবং এই ধরনের একটি ইভেন্ট বন্ধ করতে আক্ষরিক অর্থে একটি মাঝারি আকারের কোম্পানির বছর লাগবে।

IPsec এবং OpenVPN একটি সাইফার আলোচনার বৈশিষ্ট্য অফার করে। অতএব, কিছু সময়ের জন্য যার পরে আপনি নতুন এনক্রিপশন চালু করবেন, পুরানোটিও কাজ করবে। এটি বর্তমান গ্রাহকদের নতুন সংস্করণে আপগ্রেড করার অনুমতি দেবে। আপডেটটি রোল আউট হওয়ার পরে, আপনি কেবল দুর্বল এনক্রিপশনটি বন্ধ করুন৷ এবং এটাই! প্রস্তুত! তুমি চমৎকার! ক্লায়েন্টরাও এটি লক্ষ্য করবেন না।

এটি আসলে বড় স্থাপনার জন্য একটি খুব সাধারণ কেস এবং এমনকি OpenVPN এর সাথে কিছুটা অসুবিধা রয়েছে। পশ্চাদগামী সামঞ্জস্য গুরুত্বপূর্ণ, এবং যদিও আপনি দুর্বল এনক্রিপশন ব্যবহার করেন, অনেকের জন্য, এটি একটি ব্যবসা বন্ধ করার কারণ নয়। কারণ এতে শত শত গ্রাহক তাদের কাজ করতে না পারার কারণে তাদের কাজ অচল করে দেবে।

ওয়্যারগার্ড টিম তাদের প্রোটোকলকে আরও সহজ করে তুলেছে, কিন্তু যারা তাদের টানেলের উভয় সমবয়সীদের উপর অবিচ্ছিন্ন নিয়ন্ত্রণ নেই তাদের জন্য সম্পূর্ণ অব্যবহারযোগ্য। আমার অভিজ্ঞতায়, এটি সবচেয়ে সাধারণ দৃশ্যকল্প।

ক্রিপ্টোগ্রাফি !

কিন্তু ওয়্যারগার্ড ব্যবহার করে এই আকর্ষণীয় নতুন এনক্রিপশন কী?

WireGuard কী বিনিময়ের জন্য Curve25519, এনক্রিপশনের জন্য ChaCha20 এবং ডেটা প্রমাণীকরণের জন্য Poly1305 ব্যবহার করে। এটি হ্যাশ কীগুলির জন্য সিপহ্যাশ এবং হ্যাশিংয়ের জন্য BLAKE2 এর সাথেও কাজ করে।

ChaCha20-Poly1305 IPsec এবং OpenVPN (TLS এর উপরে) এর জন্য প্রমিত।

এটা সুস্পষ্ট যে ড্যানিয়েল বার্নস্টাইনের বিকাশ প্রায়শই ব্যবহৃত হয়। BLAKE2 হল BLAKE-এর উত্তরসূরি, একজন SHA-3 ফাইনালিস্ট যেটি SHA-2-এর সাথে মিল থাকার কারণে জেতেনি। যদি SHA-2 ভাঙতে হয়, তাহলে BLAKE-এর সাথেও আপস করার একটা ভালো সুযোগ ছিল।

আইপিসেক এবং ওপেনভিপিএন তাদের ডিজাইনের কারণে সিপহ্যাশের প্রয়োজন নেই। তাই একমাত্র জিনিস যা বর্তমানে তাদের সাথে ব্যবহার করা যাবে না তা হল BLAKE2, এবং এটি কেবলমাত্র এটি প্রমিত না হওয়া পর্যন্ত। এটি একটি বড় অসুবিধা নয়, কারণ ভিপিএনগুলি সততা তৈরি করতে HMAC ব্যবহার করে, যা MD5 এর সাথে একত্রে একটি শক্তিশালী সমাধান হিসাবে বিবেচিত হয়।

তাই আমি উপসংহারে এসেছি যে সমস্ত ভিপিএন-এ প্রায় একই সেট ক্রিপ্টোগ্রাফিক টুল ব্যবহার করা হয়। অতএব, এনক্রিপশন বা ট্রান্সমিটেড ডেটার অখণ্ডতার ক্ষেত্রে ওয়্যারগার্ড অন্য যেকোনো বর্তমান পণ্যের চেয়ে বেশি বা কম নিরাপদ নয়।

কিন্তু এমনকি এটি সবচেয়ে গুরুত্বপূর্ণ জিনিস নয়, যা প্রকল্পের অফিসিয়াল ডকুমেন্টেশন অনুযায়ী মনোযোগ দিতে মূল্যবান। সব পরে, প্রধান জিনিস গতি হয়।

ওয়্যারগার্ড কি অন্যান্য ভিপিএন সমাধানের চেয়ে দ্রুত?

সংক্ষেপে: না, দ্রুত নয়।

ChaCha20 হল একটি স্ট্রিম সাইফার যা সফ্টওয়্যারে প্রয়োগ করা সহজ। এটি একবারে এক বিট এনক্রিপ্ট করে। ব্লক প্রোটোকল যেমন AES এক সময়ে একটি ব্লক 128 বিট এনক্রিপ্ট করে। হার্ডওয়্যার সমর্থন বাস্তবায়নের জন্য অনেক বেশি ট্রানজিস্টরের প্রয়োজন হয়, তাই বড় প্রসেসরগুলি AES-NI-এর সাথে আসে, এটি একটি নির্দেশ সেট এক্সটেনশন যা এনক্রিপশন প্রক্রিয়ার কিছু কাজ সম্পাদন করে এটির গতি বাড়ানোর জন্য।

এটি আশা করা হয়েছিল যে AES-NI কখনই স্মার্টফোনে প্রবেশ করবে না [কিন্তু তা হয়েছে — প্রায়। প্রতি।] এর জন্য, ChaCha20 একটি হালকা ওজনের, ব্যাটারি-সাশ্রয়ী বিকল্প হিসাবে তৈরি করা হয়েছিল। অতএব, এটি আপনার কাছে খবর হিসাবে আসতে পারে যে আপনি আজকে কিনতে পারেন এমন প্রতিটি স্মার্টফোনে এক ধরণের AES ত্বরণ রয়েছে এবং এই এনক্রিপশনের সাথে ChaCha20 এর তুলনায় দ্রুত এবং কম শক্তি খরচ করে।

স্পষ্টতই, গত কয়েক বছরে কেনা প্রায় প্রতিটি ডেস্কটপ/সার্ভার প্রসেসরে AES-NI রয়েছে।

অতএব, আমি আশা করি AES প্রতিটি একক পরিস্থিতিতে ChaCha20-কে ছাড়িয়ে যাবে। ওয়্যারগার্ডের অফিসিয়াল ডকুমেন্টেশনে উল্লেখ করা হয়েছে যে AVX512 এর সাথে, ChaCha20-Poly1305 AES-NI কে ছাড়িয়ে যাবে, কিন্তু এই নির্দেশ সেট এক্সটেনশনটি শুধুমাত্র বড় CPU-তে উপলব্ধ হবে, যা আবার ছোট এবং আরও বেশি মোবাইল হার্ডওয়্যারের সাথে সাহায্য করবে না, যা সবসময় AES-এর সাথে দ্রুততর হবে। - N.I.

আমি নিশ্চিত নই যে এটি ওয়্যারগার্ডের বিকাশের সময় পূর্বাভাস দেওয়া যেত কিনা, তবে আজ যে এটিকে একা এনক্রিপশনে পেরেক দেওয়া হয়েছে তা ইতিমধ্যে একটি ত্রুটি যা এর ক্রিয়াকলাপকে খুব ভালভাবে প্রভাবিত করতে পারে না।

IPsec আপনাকে অবাধে আপনার ক্ষেত্রে কোন এনক্রিপশন সেরা তা বেছে নিতে দেয়। এবং অবশ্যই, এটি প্রয়োজনীয় যদি, উদাহরণস্বরূপ, আপনি একটি VPN সংযোগের মাধ্যমে 10 বা তার বেশি গিগাবাইট ডেটা স্থানান্তর করতে চান।

লিনাক্সে ইন্টিগ্রেশন সমস্যা

যদিও ওয়্যারগার্ড একটি আধুনিক এনক্রিপশন প্রোটোকল বেছে নিয়েছে, এটি ইতিমধ্যেই অনেক সমস্যার সৃষ্টি করে। এবং তাই, বাক্সের বাইরে কার্নেল দ্বারা সমর্থিত যা ব্যবহার করার পরিবর্তে, লিনাক্সে এই আদিম উপাদানগুলির অভাবের কারণে ওয়্যারগার্ডের একীকরণ কয়েক বছর ধরে বিলম্বিত হয়েছে।

অন্যান্য অপারেটিং সিস্টেমে পরিস্থিতি কী তা আমি সম্পূর্ণরূপে নিশ্চিত নই, তবে এটি সম্ভবত লিনাক্সের তুলনায় খুব বেশি আলাদা নয়।

বাস্তবতা দেখতে কেমন?

দুর্ভাগ্যবশত, যখনই কোনো ক্লায়েন্ট আমাকে তাদের জন্য একটি VPN সংযোগ সেট আপ করতে বলে, আমি এই সমস্যাটির মধ্যে চলে যাই যে তারা পুরানো শংসাপত্র এবং এনক্রিপশন ব্যবহার করছে। MD3 এর সাথে একত্রে 5DES এখনও সাধারণ অনুশীলন, যেমন AES-256 এবং SHA1। এবং যদিও পরবর্তীটি কিছুটা ভাল, এটি এমন কিছু নয় যা 2020 সালে ব্যবহার করা উচিত।

কী বিনিময়ের জন্য সর্বদা RSA ব্যবহার করা হয় - একটি ধীর কিন্তু মোটামুটি নিরাপদ টুল।

আমার ক্লায়েন্টরা কাস্টমস কর্তৃপক্ষ এবং অন্যান্য সরকারী সংস্থা এবং প্রতিষ্ঠানের সাথে যুক্ত, সেইসাথে বড় কর্পোরেশনের সাথে যাদের নাম সারা বিশ্বে পরিচিত। তারা সবাই একটি অনুরোধ ফর্ম ব্যবহার করে যা কয়েক দশক আগে তৈরি করা হয়েছিল, এবং SHA-512 ব্যবহার করার ক্ষমতা কখনও যোগ করা হয়নি। আমি বলতে পারি না যে এটি একরকম স্পষ্টভাবে প্রযুক্তিগত অগ্রগতিকে প্রভাবিত করে, তবে স্পষ্টতই এটি কর্পোরেট প্রক্রিয়াকে ধীর করে দেয়।

এটা দেখে আমার কষ্ট হয়, কারণ IPsec 2005 সাল থেকে উপবৃত্তাকার বক্ররেখাকে সমর্থন করেছে। Curve25519ও নতুন এবং ব্যবহারের জন্য উপলব্ধ। ক্যামেলিয়া এবং ChaCha20 এর মতো AES-এর বিকল্পগুলিও রয়েছে, তবে স্পষ্টতই সেগুলি সবগুলিই Cisco এবং অন্যদের মতো বড় বিক্রেতাদের দ্বারা সমর্থিত নয়।

আর মানুষ এর সুযোগ নেয়। অনেক সিস্কো কিট আছে, সিস্কোর সাথে কাজ করার জন্য ডিজাইন করা অনেক কিট আছে। তারা এই সেগমেন্টের বাজারের নেতা এবং কোন ধরনের উদ্ভাবনে খুব একটা আগ্রহী নয়।

হ্যাঁ, পরিস্থিতি [কর্পোরেট সেগমেন্টে] ভয়ানক, কিন্তু ওয়্যারগার্ডের কারণে আমরা কোনো পরিবর্তন দেখতে পাব না। বিক্রেতারা সম্ভবত তারা ইতিমধ্যেই ব্যবহার করছেন এমন টুলিং এবং এনক্রিপশনের সাথে কোনও পারফরম্যান্স সমস্যা দেখতে পাবেন না, IKEv2 এর সাথে কোনও সমস্যা দেখতে পাবেন না এবং তাই তারা বিকল্পগুলি খুঁজছেন না।

সাধারণভাবে, আপনি কি কখনও সিসকো পরিত্যাগ করার কথা ভেবেছেন?

মানদণ্ড

এবং এখন ওয়্যারগার্ড ডকুমেন্টেশন থেকে বেঞ্চমার্কে যাওয়া যাক। যদিও এই [ডকুমেন্টেশন] একটি বৈজ্ঞানিক নিবন্ধ নয়, তবুও আমি আশা করেছিলাম যে বিকাশকারীরা আরও বৈজ্ঞানিক পদ্ধতি গ্রহণ করবে, বা একটি রেফারেন্স হিসাবে একটি বৈজ্ঞানিক পদ্ধতি ব্যবহার করবে। যেকোন মানদণ্ড অকেজো যদি সেগুলি পুনরুত্পাদন করা যায় না, এবং আরও বেশি অকেজো হয় যখন সেগুলি পরীক্ষাগারে পাওয়া যায়।

ওয়্যারগার্ডের লিনাক্স বিল্ডে, এটি GSO - জেনেরিক সেগমেন্টেশন অফলোডিং ব্যবহারের সুবিধা নেয়। তাকে ধন্যবাদ, ক্লায়েন্ট 64 কিলোবাইটের একটি বিশাল প্যাকেট তৈরি করে এবং একে একে এনক্রিপ্ট/ডিক্রিপ্ট করে। এইভাবে, ক্রিপ্টোগ্রাফিক ক্রিয়াকলাপগুলিকে আহ্বান এবং বাস্তবায়নের খরচ হ্রাস করা হয়। আপনি যদি আপনার ভিপিএন সংযোগের থ্রুপুট সর্বাধিক করতে চান তবে এটি একটি ভাল ধারণা।

তবে, যথারীতি, বাস্তবতা এত সহজ নয়। একটি নেটওয়ার্ক অ্যাডাপ্টারে এত বড় প্যাকেট পাঠানোর জন্য এটিকে অনেক ছোট প্যাকেটে কাটাতে হবে। সাধারণ প্রেরণের আকার হল 1500 বাইট। অর্থাৎ, আমাদের 64 কিলোবাইটের দৈত্যকে 45 প্যাকেটে বিভক্ত করা হবে (তথ্যের 1240 বাইট এবং আইপি হেডারের 20 বাইট)। তারপরে, কিছু সময়ের জন্য, তারা নেটওয়ার্ক অ্যাডাপ্টারের কাজকে সম্পূর্ণরূপে অবরুদ্ধ করবে, কারণ তাদের অবশ্যই একসাথে এবং একবারে প্রেরণ করতে হবে। ফলস্বরূপ, এটি একটি অগ্রাধিকার লাফের দিকে নিয়ে যাবে এবং ভিওআইপির মতো প্যাকেটগুলি সারিবদ্ধ হবে৷

এইভাবে, ওয়্যারগার্ড এত সাহসের সাথে যে উচ্চ থ্রুপুট দাবি করে তা অন্যান্য অ্যাপ্লিকেশনগুলির নেটওয়ার্কিংকে ধীর করার ব্যয়ে অর্জন করা হয়। এবং ওয়্যারগার্ড দল ইতিমধ্যেই নিশ্চিত এই আমার উপসংহার.

কিন্তু চলুন এগিয়ে চলুন.

প্রযুক্তিগত ডকুমেন্টেশনের বেঞ্চমার্ক অনুসারে, সংযোগটি 1011 Mbps এর থ্রুপুট দেখায়।

চিত্তাকর্ষক।

এটি বিশেষভাবে চিত্তাকর্ষক এই কারণে যে একটি একক গিগাবিট ইথারনেট সংযোগের সর্বাধিক তাত্ত্বিক থ্রুপুট হল 966 এমবিপিএস যার প্যাকেটের আকার 1500 বাইট বিয়োগ আইপি হেডারের জন্য 20 বাইট, UDP হেডারের জন্য 8 বাইট এবং হেডারের জন্য 16 বাইট। ওয়্যারগার্ড নিজেই। এনক্যাপসুলেটেড প্যাকেটে আরও একটি আইপি শিরোনাম রয়েছে এবং 20 বাইটের জন্য টিসিপিতে আরেকটি রয়েছে৷ তাহলে এই অতিরিক্ত ব্যান্ডউইথ কোথা থেকে এসেছে?

বিশাল ফ্রেম এবং GSO এর সুবিধাগুলির সাথে আমরা উপরে কথা বলেছি, 9000 বাইটের একটি ফ্রেমের আকারের তাত্ত্বিক সর্বাধিক হবে 1014 Mbps। সাধারণত এই ধরনের থ্রুপুট বাস্তবে অপ্রাপ্য, কারণ এটি বড় অসুবিধার সাথে যুক্ত। এইভাবে, আমি শুধুমাত্র অনুমান করতে পারি যে পরীক্ষাটি 64 কিলোবাইটের এমনকি মোটা ওভারসাইজ ফ্রেম ব্যবহার করে করা হয়েছিল যার তাত্ত্বিক সর্বাধিক 1023 Mbps, যা শুধুমাত্র কিছু নেটওয়ার্ক অ্যাডাপ্টার দ্বারা সমর্থিত। কিন্তু বাস্তব অবস্থার ক্ষেত্রে এটি একেবারেই প্রযোজ্য নয়, অথবা শুধুমাত্র দুটি সরাসরি সংযুক্ত স্টেশনের মধ্যে ব্যবহার করা যেতে পারে, বিশেষভাবে পরীক্ষার বেঞ্চের মধ্যে।

কিন্তু যেহেতু VPN টানেল দুটি হোস্টের মধ্যে একটি ইন্টারনেট সংযোগ ব্যবহার করে ফরোয়ার্ড করা হয় যা মোটেও জাম্বো ফ্রেম সমর্থন করে না, তাই বেঞ্চে অর্জিত ফলাফলটিকে একটি মানদণ্ড হিসাবে নেওয়া যায় না। এটি কেবল একটি অবাস্তব পরীক্ষাগার অর্জন যা বাস্তব যুদ্ধের পরিস্থিতিতে অসম্ভব এবং অপ্রযোজ্য।

এমনকি ডেটা সেন্টারে বসেও, আমি 9000 বাইটের চেয়ে বড় ফ্রেম স্থানান্তর করতে পারিনি।

বাস্তব জীবনে প্রযোজ্যতার মাপকাঠি একেবারে লঙ্ঘন করা হয়েছে এবং, আমি মনে করি, "পরিমাপ" লেখক স্পষ্ট কারণে নিজেকে গুরুতরভাবে অসম্মানিত করেছেন।

আশার শেষ ঝলক

ওয়্যারগার্ড ওয়েবসাইট কন্টেইনার সম্পর্কে অনেক কথা বলে এবং এটি আসলে কী উদ্দেশ্যে করা হয়েছে তা স্পষ্ট হয়ে যায়।

একটি সহজ এবং দ্রুত VPN যার জন্য কোন কনফিগারেশনের প্রয়োজন নেই এবং অ্যামাজনের মতো বিশাল অর্কেস্ট্রেশন সরঞ্জামগুলির সাথে তাদের ক্লাউডে স্থাপন এবং কনফিগার করা যেতে পারে। বিশেষত, অ্যামাজন সর্বশেষ হার্ডওয়্যার বৈশিষ্ট্যগুলি ব্যবহার করে যা আমি আগে উল্লেখ করেছি, যেমন AVX512। কাজটি দ্রুত করার জন্য এবং x86 বা অন্য কোন আর্কিটেকচারের সাথে আবদ্ধ না হওয়ার জন্য এটি করা হয়।

তারা 9000 বাইটের চেয়ে বড় থ্রুপুট এবং প্যাকেটগুলিকে অপ্টিমাইজ করে - এগুলি একে অপরের সাথে যোগাযোগ করার জন্য বা ব্যাকআপ অপারেশনের জন্য, স্ন্যাপশট তৈরি করতে বা এই একই পাত্রে স্থাপন করার জন্য কন্টেইনারগুলির জন্য বিশাল এনক্যাপসুলেটেড ফ্রেম হবে। এমনকি ডাইনামিক আইপি অ্যাড্রেসও আমার বর্ণিত দৃশ্যের ক্ষেত্রে ওয়্যারগার্ডের অপারেশনকে কোনোভাবেই প্রভাবিত করবে না।

ভালো খেলেছ. উজ্জ্বল বাস্তবায়ন এবং খুব পাতলা, প্রায় রেফারেন্স প্রোটোকল।

কিন্তু আপনি সম্পূর্ণ নিয়ন্ত্রণ করেন এমন ডেটা সেন্টারের বাইরের জগতে এটি ঠিক মাপসই হয় না। আপনি যদি ঝুঁকি নেন এবং ওয়্যারগার্ড ব্যবহার করা শুরু করেন, তাহলে আপনাকে এনক্রিপশন প্রোটোকলের নকশা এবং বাস্তবায়নে ধ্রুবক আপস করতে হবে।

উপসংহার

আমার পক্ষে উপসংহারে আসা সহজ যে ওয়্যারগার্ড এখনও প্রস্তুত নয়।

এটি বিদ্যমান সমাধানগুলির সাথে বেশ কয়েকটি সমস্যার হালকা এবং দ্রুত সমাধান হিসাবে কল্পনা করা হয়েছিল। দুর্ভাগ্যবশত, এই সমাধানগুলির জন্য, তিনি অনেকগুলি বৈশিষ্ট্য ত্যাগ করেছেন যা বেশিরভাগ ব্যবহারকারীর জন্য প্রাসঙ্গিক হবে। এজন্য এটি IPsec বা OpenVPN প্রতিস্থাপন করতে পারে না।

ওয়্যারগার্ড প্রতিযোগিতামূলক হওয়ার জন্য, এটি কমপক্ষে একটি আইপি ঠিকানা সেটিং এবং একটি রাউটিং এবং ডিএনএস কনফিগারেশন যুক্ত করতে হবে। স্পষ্টতই, এটিই এনক্রিপ্ট করা চ্যানেলগুলির জন্য।

নিরাপত্তা আমার সর্বোচ্চ অগ্রাধিকার, এবং এই মুহূর্তে আমার বিশ্বাস করার কোনো কারণ নেই যে IKE বা TLS কোনোভাবে আপস করা হয়েছে বা ভেঙে গেছে। আধুনিক এনক্রিপশন তাদের উভয়ই সমর্থিত, এবং তারা কয়েক দশকের অপারেশন দ্বারা প্রমাণিত হয়েছে। কিছু নতুন হওয়ার মানে এই নয় যে এটি আরও ভাল।

ইন্টারঅপারেবিলিটি অত্যন্ত গুরুত্বপূর্ণ যখন আপনি তৃতীয় পক্ষের সাথে যোগাযোগ করেন যাদের স্টেশন আপনি নিয়ন্ত্রণ করেন না। IPsec হল ডি ফ্যাক্টো স্ট্যান্ডার্ড এবং প্রায় সব জায়গায় সমর্থিত। এবং সে কাজ করে। এবং এটি যেভাবে দেখায় না কেন, তাত্ত্বিকভাবে, ওয়্যারগার্ড ভবিষ্যতে এমনকি নিজের বিভিন্ন সংস্করণের সাথে সামঞ্জস্যপূর্ণ নাও হতে পারে।

যেকোনো ক্রিপ্টোগ্রাফিক সুরক্ষা শীঘ্রই বা পরে ভেঙে যায় এবং সেই অনুযায়ী, অবশ্যই প্রতিস্থাপন বা আপডেট করতে হবে।

এই সমস্ত তথ্য অস্বীকার করা এবং অন্ধভাবে আপনার আইফোনকে আপনার হোম ওয়ার্কস্টেশনের সাথে সংযুক্ত করতে ওয়্যারগার্ড ব্যবহার করতে চাওয়া বালিতে আপনার মাথা আটকে রাখার একটি মাস্টার ক্লাস মাত্র।

উত্স: www.habr.com