WireGuard — suurepärane VPN tulevikuks?

On aeg, mil VPN ei ole enam eksootiline tööriist habemikest süsteemihalduritele. Kasutajatel on erinevad vajadused, kuid tõsiasi on see, et VPN on muutunud kõigile vajalikuks.

Praeguste VPN-lahenduste probleemiks on see, et nende õigesti seadistamine on keeruline, hooldus kallis ja nendes on palju kahtlase kvaliteediga pärandkoodi.

Mõned aastad tagasi otsustas Kanada küberturvalisuse spetsialist Jason A. Donenfeld, et on aeg selle olukorraga hakkama saada, ja alustas töötamist WireGuard. Praegu valmistatakse WireGuard ette Linuxi tuuma lisamiseks, ta on saanud isegi kiidusõnu Linus Torvaldsi ja Ameerika senatis.

WireGuardi väidetavad eelised teiste VPN-lahenduste ees:

• Lihtne kasutada.
• Kasutab kaasaegseid krüptograafiat: Noise protocol framework, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF jne.
• Kompaktne ja loetav kood, kergem uurida haavatavuste osas.
• Kõrge tootlikkus.
• Selge ja läbimõeldud spetsifikatsioon.

Kas see on tõeliselt leidunud hõbemõru? Kas OpenVPN ja IPSec on aeg matta? Otsustasin selle välja selgitada ja tegin samal ajal skripti isikliku VPN-serveri automaatseks installimiseks.

Tööprintsiibid

Tööprintsiibe saab kirjeldada järgmiselt:

• Looge WireGuardi liides, määrake sellele privaatne võti ja IP-aadress. Laadige teiste peers'ide seadistused: nende avalikud võtmed, IP-aadressid jne.
• Kõik IP-paketid, mis saabuvad WireGuardi liidesesse, kapseldatakse UDP-sse ja toimetatakse ohutult teistesse peers'idesse.
• Kliendid määravad seadistustes serveri avaliku IP-aadressi. Server täpsustab automaatselt klientide välised aadressid, kui need saavad õigesti autentitud andmed.
• Server võib muuta avalikku IP-aadressi, katkestamata tööd. Sel juhul saadab ta ühendatud klientidele teate, et nad uuendavad oma konfiguratsiooni reaalajas.
• Kasutatakse marsruutimise Cryptokey Routing. WireGuard vastutab pakettide vastuvõtmise ja saatmise eest avaliku võtme alusel. Kui server dekodeerib korralikult autentitud paketi, kontrollitakse selle src välja. Kui see vastab konfiguratsioonile allowed-ips autentitud peer'ile, siis võtab WireGuard paketi vastu. Välja saadetava paketi saatmise korral toimub vastav protseduur: võetakse dst välja paketist ja selle alusel valitakse sobiv peer, pakett allkirjastatakse oma võtmega, krüpteeritakse peer'i võtmega ja saadetakse kaugservisse.

Kogu WireGuard'i põhiloogika maht on vähem kui 4000 rida koodi, samas kui OpenVPN ja IPSec sisaldavad sadu tuhandeid ridu. Kaasaegsete krüptoalgoritmide toetamiseks on soovitatav lisada Linuxi tuumasse uus krüptograafiline API. Zinc. Praegu arutatakse, kui hea mõte see on.

Tõhusus

Maksimaalne jõudluse eelis (võrreldes OpenVPN ja IPSec'iga) on märgatav Linuxi süsteemides, kuna seal on WireGuard teostatud tuumamoodulina. Lisaks toetatakse macOS'i, Androidi, iOS'i, FreeBSD-d ja OpenBSD-d, kus WireGuard töötab userspaces, mis toob kaasa jõudluse probleeme. Windowsi toe lisamist lubatakse lähiajal.

Pingutuste tulemused on ametlikult veebisaidilt:

Minu kogemus kasutamisel

Ma ei ole VPN-i seadistamise ekspert. Üks kord seadistasin OpenVPN-i käsitsi ja see oli üsna vaevarikas, IPSec-i ma isegi ei proovinud. Otsuste tegemine on liiga keeruline, on väga lihtne endale jalga lasta. Seetõttu olen alati kasutanud valmis skripte serveri seadistamiseks.

Nii et WireGuard, minu arvates, on kasutajale täiesti ideaalne. Kõik madala taseme lahendused on määratud spetsifikatsioonis, nii et tüüpilise VPN infrastruktuuri ettevalmistamine võtab vaid paar minutit. Peaaegu on võimatu vale konfiguratsiooniga eksida.

Installimisprotsess detailne kirjeldus ametlikul veebilehel, soovin eraldi märkida suurepärase OpenWRT toe.

Krüpteerimisvõtmed genereeritakse tööriistaga wg:

SERVER_PRIVKEY=$( wg genkey )
SERVER_PUBKEY=$( echo $SERVER_PRIVKEY | wg pubkey )
CLIENT_PRIVKEY=$( wg genkey )
CLIENT_PUBKEY=$( echo $CLIENT_PRIVKEY | wg pubkey )

Seejärel tuleb luua serveri konfiguratsioon /etc/wireguard/wg0.conf järgmise sisuga:

[Interface]
Address = 10.9.0.1/24
PrivateKey = $SERVER_PRIVKEY
[Peer]
PublicKey = $CLIENT_PUBKEY
AllowedIPs = 10.9.0.2/32

ja tõsta tunnel skripti abil wg-quick:

sudo wg-quick up /etc/wireguard/wg0.conf

Systemd süsteemides võib selle asemel kasutada sudo systemctl start wg-quick@wg0.service.

Kliendi masinas luua konfiguratsioon /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = $CLIENT_PRIVKEY
Address = 10.9.0.2/24
[Peer]
PublicKey = $SERVER_PUBKEY
AllowedIPs = 0.0.0.0/0
Endpoint = 1.2.3.4:51820 # Serveri välise IP 

Ja täpselt samamoodi tõsta tunnel:

sudo wg-quick up /etc/wireguard/wg0.conf

Jääb seadistada NAT serveris, et kliendid saaksid Internetti pääseda, ja kõik on valmis!

Selle kasutuslihtsuse ja koodibaasi kompaktsuse saavutasime loobudes võtmete jaotamise funktsioonist. Siin pole keerulist sertifikaadi süsteemi ja kogu seda ettevõtte hirmus, lühikesed krüpteerimisvõtmed levivad umbes nagu SSH võti. Kuid see tekitab probleemi: WireGuardi integreerimine võib olla mõnel juba olemasoleval võrgul keeruline.

Puudustest tuleks märkida, et WireGuard ei toimi HTTP-proxy kaudu, kuna transportimiseks on saadaval ainult UDP-protokoll. Tõstatub küsimus, kas protokolli on võimalik maskeerida? Loomulikult ei ole see VPN-i otsene ülesanne, kuid näiteks OpenVPN-i puhul on olemas viise, kuidas maskeerida HTTPS-i alla, mis aitab totalitaarsetes riikides elavatel inimestel Interneti tõhusalt kasutada.

Järeldused

Kokkuvõttes on see väga huvitav ja paljutõotav projekt, mida saab juba praegu kasutada isiklikel serveritel. Milline kasu? Kõrge jõudlus Linuxi süsteemides, seadistamise ja haldamise lihtsus, kompaktne ja loetav koodibaas. Siiski on veel vara hakata keerulist infrastruktuuri WireGuardi peale üle viima, tuleks oodata, kuni see lisatakse Linuxi kerneli koostisse.

Oma (ja teie) aja säästmiseks olen välja töötanud automaatse WireGuardi installeri. Selle abil saab luua omaenda VPN-i isegi siis, kui te ei tea sellest midagi.

Allikas: habr.com