🥇WireGuard "tuleb" Linuxi tuumasse - miks?

Juuli lõpus pakkus WireGuardi VPN-tunneli arendajatel patšide kogumit, et nende tarkvara VPN-tunnelite korraldamiseks saab Linuxi tuumaks. Siiski jääb „idee“ elluviimise täpne kuupäev teadmata. Allpool arutame seda tööriista lähemalt.

/ фото Tambako The Jaguar CC

Lühidalt projektist

WireGuard on järgmise põlvkonna VPN-tunnel, mille loonud Jason Donenfeld, Edge Security'i juht. Projekt töötati välja kui lihtsustatud ja kiire alternatiiv OpenVPN-le ja IPsec-le. Toote esimene versioon sisaldas vaid 4000 rida koodi. Võrdluseks, OpenVPN-is on umbes 120 000 rida, samas kui IPSec-is on 420 000 rida.

Ajal sõnadele arendajatele, WireGuard'i seadistamine on lihtne ning protokolli turvalisus saavutatakse tunnustatud krüptograafiliste algoritmide abil. Võrgu vahetamisel: Wi-Fi, LTE või Ethernet nõuab VPN-serveriga uuesti ühendamist. WireGuardi serverid ei katkesta ühendust, isegi kui kasutaja saab uue IP-aadressi.

Kuigi WireGuard on algselt kohandatud Linuxi tuuma jaoks, on arendajad mõelnud ka kaasaskantavale versioonile Android-seadmetes. Rakendus pole veel täiustatud, kuid seda saab juba praegu proovida. Selleks tuleb olla üks testijatest.

Kokkuvõttes on WireGuard üsna populaarne ja seda on võtnud kasutusele rakendatud mõned VPN-teenuse pakkujad, näiteks Mullvad ja AzireVPN. Veebis on avaldatud suure hulga juhendeid seadistamiseks selle lahenduse kohta. Näiteks on kasutajate koostatud juhendid, ja on juhendid,mille on koostanud projekti autorid Tehnilised üksikasjad.

(lk 18) on märgitud, et WireGuardi läbilaskevõime on neli korda kõrgem kui OpenVPN-il: 1011 Mbit/s võrreldes 258 Mbit/s. WireGuard ületab ka Linuxi standardlahendust IPsec - selle läbilaskevõime on 881 Mbit/s. Lisaks on selle seadistamine lihtsam.

Uues ametlikust dokumentatsioonist Võti vahetatakse (VPN-ühendus algatatakse peaaegu nagu SSH) ja kui ühendus on loodud, lahendab WireGuard iseseisvalt kõik muud ülesanded: ei ole vaja muretseda marsruutimise, oleku kontrollimise jne pärast. Lisatööd seadistamiseks on vaja teha ainult juhul, kui soovitakse kasutada sümmeetrilist krüptimist.

Anders Hojbjerg

/ фото Installimiseks on vajalik Linuxi tuumaga distributiiv, mis on "vanem" kui 4.1. Selle leiab peamiste Linuxi distributiivide hoidlatest. CC

Installimiseks on vajalik Linuxi tuumaga distributiiv, mis on "vanem" kui 4.1. Selle võib leida peamiste Linuxi distributiivide hoidlatest.

$ sudo add-apt-repository ppa:hda-me/wireguard
$ sudo apt update
$ sudo apt install wireguard-dkms wireguard-tools

Nagu xakep.ru toimetajad märgivad, on allikaist kokku kogumine samuti lihtne. Piisab, kui tõsta üles liides ja genereerida avatud ja suletud võtmed:

$ sudo ip link add dev wg0 type wireguard
$ wg genkey | tee privatekey | wg pubkey > publickey

WireGuard ei kasuta liides krüptoprotsessoriga töötamiseks CryptoAPI. Selle asemel kasutatakse voolushifrit ChaCha20, krüptograafiline hashi sisestamine Poly1305 ja enda krüptograafilised hash-funktsioonid.

Salajane võti genereeritakse kasutades . Enda krüpteerimine elliptilise kõvera baasil Curve25519. Hashimise korral kasutatakse hash-funktsioone BLAKE2 ja SipHash. Aja markide formaadi tõttu TAI64N protokoll loob tähelepanuta pakette, mille ajatempli väärtus on väiksem, mis tõhusalt ennustab DoS- ja taaskasutuse rünnakud.

Sellega seoses kasutab WireGuard ioctl funktsiooni sisendi/väljundi kontrollimiseks (varem kasutati Netlink), mis muudab koodi puhtamaks ja lihtsamaks. Seda saab kinnitada, vaadates konfiguratsioonikood.

Arendajate plaanid

Praegu on WireGuard out-of-tree moodul tuumas. Kuid projekti autor Jason Donenfeld ütleb, et on juba aeg täielikuks rakendamiseks Linuxi kernelis. Kuna see on lihtsam ja usaldusväärsem kui teised lahendused. Jasonit soovitas toetab ise Linus Torvalds - ta nimetas WireGuardi koodi "kunstiteoseks".

Kuid keegi ei räägi WireGuardi tuumasse sisestamise täpsetest kuupäevadest. Ja kahtlemata ei juhtu see augustrakendi Linux kernel 4.18 tulekuga. Kuid on olemas võimalus, et see juhtub lähitulevikus: versioonis 4.19 või 5.0.

Kui WireGuard lisatakse tuumasse, soovivad arendajad töötada välja rakendus Android-seadmetele ja alustada rakenduse kirjutamist iOS-ile. Samuti plaanitakse lõppviimistlus Go ja Rusti baasil ja nende portimine macOS-ile, Windowsile ja BSD-le. Samuti on plaanis WireGuardi rakendamine rohkem "eksootilistes süsteemides": FPGA DPDK, , samuti palju muid huvitavaid asju. Kõik need on loetletudtegevuste nimekirjas projekti autorite. P.S. Veel mõned artiklid meie ettevõtte blogist:

Pilvetehnoloogiad rahanduses: Venemaa ettevõtete kogemus

Virtuaalne infrastruktuur (IaaS)