Se han realizado cambios en el \u00e1rbol fuente de FreeBSD con una nueva implementaci\u00f3n de VPN WireGuard, basada en el c\u00f3digo del m\u00f3dulo del kernel, desarrollado conjuntamente por los principales equipos de desarrolladores de FreeBSD y WireGuard, con la participaci\u00f3n de Jason Donenfeld, el autor de VPN WireGuard, y John Baldwin, conocido desarrollador de GDB y FreeBSD, quien implement\u00f3 el soporte SMP y NUMA en el kernel de FreeBSD a inicios de los a\u00f1os 2000. Tras la aceptaci\u00f3n del controlador en FreeBSD (sys\/dev\/wg), su desarrollo y mantenimiento se realizar\u00e1 en el repositorio de FreeBSD. <\/p>\n
Antes de la aceptaci\u00f3n del c\u00f3digo, se llev\u00f3 a cabo una revisi\u00f3n completa de los cambios con el apoyo de la FreeBSD Foundation, durante la cual se analiz\u00f3 la interacci\u00f3n del controlador con los dem\u00e1s subsistemas del kernel y se evalu\u00f3 la posibilidad de utilizar los primitivos criptogr\u00e1ficos proporcionados por el kernel. <\/p>\n
Para utilizar los algoritmos criptogr\u00e1ficos necesarios para el controlador, se ampli\u00f3 la API de la subsistema criptogr\u00e1fico del kernel de FreeBSD, que a\u00f1adi\u00f3 un envoltorio que permite usar, a trav\u00e9s de la API criptogr\u00e1fica est\u00e1ndar, algoritmos no soportados en FreeBSD, utilizando la implementaci\u00f3n necesaria de la biblioteca libsodium. De los algoritmos integrados en el controlador, se ha dejado solo el c\u00f3digo para calcular hash Blake2, ya que la implementaci\u00f3n de este algoritmo en FreeBSD est\u00e1 atada a un tama\u00f1o fijo de hash. <\/p>\n
Adem\u00e1s, durante el proceso de revisi\u00f3n se llev\u00f3 a cabo una optimizaci\u00f3n del c\u00f3digo que aument\u00f3 la eficiencia de distribuci\u00f3n de carga en CPU multin\u00facleo (asegurando un balance uniforme en la asignaci\u00f3n de tareas de cifrado y descifrado de paquetes a los n\u00facleos de CPU). Como resultado, los costos administrativos en el procesamiento de paquetes se acercaron a la implementaci\u00f3n del controlador para Linux. El c\u00f3digo tambi\u00e9n proporciona la posibilidad de usar el controlador ossl para acelerar las operaciones de cifrado. <\/p>\n
A diferencia de los intentos anteriores de integrar WireGuard en FreeBSD, en esta nueva implementaci\u00f3n se utiliza la herramienta est\u00e1ndar wg, en lugar de una versi\u00f3n modificada de ifconfig, lo que permiti\u00f3 unificar la configuraci\u00f3n en Linux y FreeBSD. La herramienta wg, al igual que el controlador, est\u00e1 incluida en los c\u00f3digos fuente de FreeBSD, lo que fue posible gracias a la modificaci\u00f3n de la licencia del c\u00f3digo wg (el c\u00f3digo ahora est\u00e1 disponible bajo las licencias MIT y GPL). El intento anterior de incluir WireGuard en FreeBSD se realiz\u00f3 en 2020, pero termin\u00f3 en un esc\u00e1ndalo, resultando en la eliminaci\u00f3n del c\u00f3digo ya a\u00f1adido debido a su baja calidad, manejo descuidado de los b\u00faferes, uso de parches en lugar de comprobaciones, implementaci\u00f3n incompleta del protocolo y violaci\u00f3n de la licencia GPL. <\/p>\n
Recordemos que VPN<\/a> WireGuard se basa en m\u00e9todos de cifrado modernos, ofrece un rendimiento muy alto, es f\u00e1cil de usar, libre de complicaciones y ha demostrado ser eficaz en varias implementaciones importantes que manejan grandes vol\u00famenes de tr\u00e1fico. El proyecto ha estado en desarrollo desde 2015, ha pasado una auditor\u00eda y una verificaci\u00f3n formal de los m\u00e9todos de cifrado utilizados. WireGuard aplica el concepto de enrutamiento basado en claves de cifrado, lo que implica vincular una clave privada a cada interfaz de red y utilizarla para relacionar las claves p\u00fablicas. <\/p>\n El intercambio de claves p\u00fablicas para establecer conexiones se realiza de manera similar a SSH. Para la negociaci\u00f3n de claves y la conexi\u00f3n sin iniciar un demonio separado en el espacio de usuario, se utiliza el mecanismo Noise_IK del Noise Protocol Framework, similar al mantenimiento de authorized_keys en SSH. La transmisi\u00f3n de datos se lleva a cabo mediante encapsulaci\u00f3n en paquetes UDP. Se admite el cambio IP<\/a> del servidor VPN (roaming) sin interrumpir la conexi\u00f3n con la reconfiguraci\u00f3n autom\u00e1tica del cliente. <\/p>\n