{"id":41441,"date":"2020-02-11T12:07:10","date_gmt":"2020-02-11T09:07:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/wireguard-pridet-v-yadro-linux-pochemu"},"modified":"2020-02-11T12:07:10","modified_gmt":"2020-02-11T09:07:10","slug":"wireguard-pridet-v-yadro-linux-pochemu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/wireguard-pridet-v-yadro-linux-pochemu","title":{"rendered":"WireGuard \u201etuleb\u201d Linuxi tuumasse \u2014 miks?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Juuli l\u00f5pus pakkusid WireGuardi VPN-tunnelite arendajad patchide komplekt<\/a><\/noindex>, et nende tarkvara VPN-tunnelite loomiseks muutub osa Linuxi kernelist. Siiski j\u00e4\u00e4b t\u00e4pne rakendamise kuup\u00e4ev teadmata. Allpool arutame selle t\u00f6\u00f6riista \u00fcle \u00fcksikasjalikumalt.<\/p>\n

\"WireGuard<\/a><\/noindex><\/a><\/noindex>
\n\/ \u0444\u043e\u0442\u043e Tambako The Jaguar<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Projektist l\u00fchidalt<\/h2>\n

\nWireGuard on j\u00e4rgmise p\u00f5lvkonna VPN-tunnel, mille l\u00f5i Jason Donenfeld, Edge Security'i juht. Projekt t\u00f6\u00f6tati v\u00e4lja kui lihtsustatud<\/a><\/noindex> ja kiire alternatiiv OpenVPN-ile ja IPsec-ile. Toote esimene versioon sisaldas vaid 4000 koodi rida. V\u00f5rdluseks: OpenVPN-l on umbes 120 000 rida, IPSec-il aga 420 000.<\/p>\n

Kohal s\u00f5nadega<\/a><\/noindex> arendajate arvust, WireGuard'i seadistamine on lihtne, ja protokolli turvalisus saavutatakse katsetatud kr\u00fcptograafiliste algoritmide abil.<\/a><\/noindex>. V\u00f5rgu vahetamisel<\/a><\/noindex>: Wi-Fi, LTE v\u00f5i Ethernet, tuleb igal korral VPN-serverisse uuesti \u00fchenduda. WireGuardi serverid ei katkesta \u00fchendust, isegi kui kasutaja saab uue IP-aadressi.<\/p>\n

Kuigi WireGuard on algselt loodud Linuxi kernelile, on arendajad m\u00f5elnud<\/a><\/noindex> ka t\u00f6\u00f6riista kaasaskantavale versioonile Android-seadmete jaoks. Rakendus ei ole veel v\u00e4lja t\u00f6\u00f6tatud, kuid seda saab juba praegu proovida. Selleks on vajalik saat \u00fcks testijatest<\/a><\/noindex>.<\/p>\n

Kokkuv\u00f5ttes on WireGuard \u00fcsna populaarne ja seda on kasutanud rakendatud<\/a><\/noindex> mitmed VPN-teenuse pakkujad, n\u00e4iteks Mullvad ja AzireVPN. V\u00f5rgus on avaldatud suure hulga<\/a><\/noindex> seadistamisjuhiseid<\/a><\/noindex> selle lahenduse kohta. N\u00e4iteks on kasutajate koostatud juhendeid ja on ka juhendeid,<\/a><\/noindex>mida on koostanud projekti autorid Tehnilised detailid<\/a><\/noindex>.<\/p>\n

(lk 18) on mainitud, et WireGuard'i l\u00e4bilaskev\u00f5ime on neli korda k\u00f5rgem kui OpenVPN'il: 1011 Mbit\/s v\u00f5rreldes 258 Mbit\/s. WireGuard \u00fcletab ka standardset lahendust Linuxile IPsec - selle l\u00e4bilaskev\u00f5ime on 881 Mbit\/s. Ta on ka lihtsamini seadistatav.<\/h2>\n

\nV ametlikus dokumentatsioonis<\/a><\/noindex> (\u0441\u0442\u0440.18) \u043e\u0442\u043c\u0435\u0447\u0435\u043d\u043e, \u0447\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u043d\u0430\u044f \u0441\u043f\u043e\u0441\u043e\u0431\u043d\u043e\u0441\u0442\u044c \u0443 WireGuard \u0432 \u0447\u0435\u0442\u044b\u0440\u0435 \u0440\u0430\u0437\u0430 \u0432\u044b\u0448\u0435, \u0447\u0435\u043c \u0443 OpenVPN: 1011 \u041c\u0431\u0438\u0442\/\u0441 \u043f\u0440\u043e\u0442\u0438\u0432 258 \u041c\u0431\u0438\u0442\/\u0441 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e. WireGuard \u043e\u043f\u0435\u0440\u0435\u0436\u0430\u0435\u0442 \u0438 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0434\u043b\u044f Linux IPsec \u2015 \u0443 \u0442\u043e\u0433\u043e 881 \u041c\u0431\u0438\u0442\/\u0441. \u041f\u0440\u0435\u0432\u043e\u0441\u0445\u043e\u0434\u0438\u0442 \u043e\u043d \u0435\u0433\u043e \u0438 \u043f\u043e \u043f\u0440\u043e\u0441\u0442\u043e\u0442\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438.<\/p>\n

P\u00e4rast v\u00f5tmete vahetamist (VPN-\u00fchendus algatatakse peaaegu nagu SSH) ja \u00fchenduse loomist lahendab WireGuard k\u00f5ik \u00fclej\u00e4\u00e4nud \u00fclesanded: ei ole vaja muretseda marsruutimise, oleku kontrollimise jne \u00fcle. T\u00e4iendavaid j\u00f5upingutusi seadistamiseks on vaja vaid juhul, kui soovitakse kasutada s\u00fcmmeetrilist kr\u00fcpteerimist.<\/p>\n

\"WireGuard
\n\/ \u0444\u043e\u0442\u043e Anders Hojbjerg<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Seadistamiseks on vajalik Linuxi tuumadist, mis on \"vanem\" kui 4.1. Seda saab leida peamiste Linuxi distributsioonide hoidlatest.<\/p>\n

$ sudo add-apt-repository ppa:hda-me\/wireguard\n$ sudo apt update\n$ sudo apt install wireguard-dkms wireguard-tools\n<\/code><\/pre>\n
\nNagu toimetajad xakep.ru m\u00e4rgivad, on allika koodidest iseseisev koostamine samuti lihtne. Piisab liidese \u00fcles seadmisest ja avatud ning privaatv\u00f5tmete genereerimisest:<\/p>\n
$ sudo ip link add dev wg0 type wireguard\n$ wg genkey | tee privatekey | wg pubkey > publickey\n<\/code><\/pre>\n
\nWireGuard ei kasuta<\/a><\/noindex> liidest kr\u00fcptoprovajderiga t\u00f6\u00f6tamiseks CryptoAPI<\/a><\/noindex>. Selle asemel kasutatakse voogkr\u00fcpto\u0161ifreid ChaCha20<\/a><\/noindex>, kr\u00fcptograafilist imitatsioonisisestust<\/a><\/noindex> Poly1305 ja omatehtud kr\u00fcptograafilisi hajutamisfunktsioone.<\/p>\n
Salajane v\u00f5ti genereeritakse kasutades Diffie-Hellmani protokolli<\/a><\/noindex> elliptsete k\u00f5verate alusel Curve25519<\/a><\/noindex>. Hajutamisel kasutatakse hajutamisfunktsioone<\/a><\/noindex> BLAKE2<\/a><\/noindex> ja SipHash<\/a><\/noindex>. Aja tempode formaadi t\u00f5ttu TAI64N<\/a><\/noindex> protokoll viskab v\u00e4lja paketid, mille ajatempos on v\u00e4iksem v\u00e4\u00e4rtus, sellega ennetades DoS-<\/a><\/noindex> ja taask\u00e4ivitamise r\u00fcnnakuid.<\/a><\/noindex>.<\/p>\n
Selle juures kasutab WireGuard ioctl funktsiooni sisendi\/v\u00e4ljundi kontrollimiseks (varem kasutati Netlink<\/a><\/noindex>), mis teeb koodi puhtamaks ja lihtsamaks. Seda asjaolu saab kontrollida, visates pilgu konfiguratsioonikoodi<\/a><\/noindex>.<\/p>\n
Arendajate plaanid<\/h2>\n
\nPraegu on WireGuard out-of-tree kerneli moodul. Kuid projekti autor Jason Donenfeld \u00fctleb<\/a><\/noindex>, et et on juba aeg t\u00e4ielikuks rakendamiseks Linuxi tuumal. Kuna see on lihtsam ja usaldusv\u00e4\u00e4rsem kui teised lahendused. Jasoni osas toetab<\/a><\/noindex> ise Linus Torvalds - ta nimetas WireGuardi koodi 'kunstiteoseks'.<\/p>\n
Kuid WireGuardi t\u00e4psete rakendamise kuup\u00e4evade kohta ei r\u00e4\u00e4gi keegi veel. Ja vaevalt<\/a><\/noindex> see juhtub augustikuisel Linux kernel 4.18 v\u00e4ljalaskmisel. Kuid on t\u00f5en\u00e4olisem, et see toimub l\u00e4hitulevikus: versioonides 4.19 v\u00f5i 5.0.<\/p>\n
Kui WireGuard lisatakse tuum, soovivad arendajad t\u00f6\u00f6tada<\/a><\/noindex> \u00e4ra Androidi seadmete rakenduse ning alustada iOS-i rakenduse kirjutamist. Samuti on plaanis l\u00f5pule viia teostused Go ja Rustis ning portida need macOS-ile, Windowsile ja BSD-le. Samuti on plaanis WireGuardi teostamine rohkem 'eksootilistele s\u00fcsteemidele': DPDK<\/a><\/noindex>, FPGA<\/a><\/noindex>, samuti palju muid p\u00f5nevaid asju. K\u00f5ik need on loetletud to-do-nimekirjas<\/a><\/noindex> projekti autorite poolt.<\/p>\n
\nP.S. Veel m\u00f5ned artiklid meie ettev\u00f5tte blogist:<\/p>\n