તમારે વાયરગાર્ડનો ઉપયોગ કેમ ન કરવો જોઈએ

વાયરગાર્ડ તાજેતરમાં ઘણું ધ્યાન ખેંચી રહ્યું છે, હકીકતમાં તે VPN માં નવો સ્ટાર છે. પરંતુ શું તે તેટલો સારો છે જેટલો તે લાગે છે? હું કેટલાક અવલોકનોની ચર્ચા કરવા અને WireGuard ના અમલીકરણની સમીક્ષા કરવા માંગુ છું તે સમજાવવા માટે કે શા માટે IPsec અથવા OpenVPN ને બદલવાનો ઉકેલ નથી.

આ લેખમાં, હું [વાયરગાર્ડની આસપાસ] કેટલીક માન્યતાઓને દૂર કરવા માંગુ છું. હા, તે વાંચવામાં ઘણો સમય લાગશે, તેથી જો તમે તમારી જાતને એક કપ ચા કે કોફી ન બનાવી હોય, તો તે કરવાનો સમય આવી ગયો છે. મારા અસ્તવ્યસ્ત વિચારોને સુધારવા માટે હું પીટરનો આભાર પણ કહેવા માંગુ છું.

હું મારી જાતને WireGuard ના વિકાસકર્તાઓને બદનામ કરવાનો, તેમના પ્રયત્નો અથવા વિચારોનું અવમૂલ્યન કરવાનો લક્ષ્ય રાખતો નથી. તેમનું ઉત્પાદન કાર્ય કરી રહ્યું છે, પરંતુ વ્યક્તિગત રીતે મને લાગે છે કે તે ખરેખર જે છે તેનાથી સંપૂર્ણપણે અલગ રજૂ કરવામાં આવ્યું છે - તે IPsec અને OpenVPN માટે રિપ્લેસમેન્ટ તરીકે રજૂ કરવામાં આવ્યું છે, જે હકીકતમાં હવે અસ્તિત્વમાં નથી.

નોંધ તરીકે, હું ઉમેરવા માંગુ છું કે વાયરગાર્ડની આવી સ્થિતિની જવાબદારી તે મીડિયાની છે જેણે તેના વિશે વાત કરી હતી, અને પ્રોજેક્ટ પોતે અથવા તેના સર્જકોની નહીં.

તાજેતરમાં Linux કર્નલ વિશે વધુ સારા સમાચાર આવ્યા નથી. તેથી, અમને પ્રોસેસરની ભયંકર નબળાઈઓ વિશે કહેવામાં આવ્યું હતું, જે સોફ્ટવેર દ્વારા સમતળ કરવામાં આવ્યું હતું, અને લિનસ ટોરવાલ્ડ્સે તેના વિશે ખૂબ જ અસંસ્કારી અને કંટાળાજનક રીતે, વિકાસકર્તાની ઉપયોગિતાવાદી ભાષામાં વાત કરી હતી. શેડ્યૂલર અથવા ઝીરો-લેવલ નેટવર્કિંગ સ્ટેક પણ ચળકતા સામયિકો માટે બહુ સ્પષ્ટ વિષયો નથી. અને અહીં વાયરગાર્ડ આવે છે.

કાગળ પર, તે બધું સરસ લાગે છે: એક આકર્ષક નવી તકનીક.

પરંતુ ચાલો તેને થોડી વધુ નજીકથી જોઈએ.

વાયરગાર્ડ સફેદ કાગળ

આ લેખ પર આધારિત છે સત્તાવાર વાયરગાર્ડ દસ્તાવેજીકરણજેસન ડોનેનફેલ્ડ દ્વારા લખાયેલ. ત્યાં તે Linux કર્નલમાં [WireGuard] ના ખ્યાલ, હેતુ અને તકનીકી અમલીકરણને સમજાવે છે.

પ્રથમ વાક્ય વાંચે છે:

WireGuard […]નો હેતુ મોટાભાગના ઉપયોગના કેસોમાં IPsec અને અન્ય લોકપ્રિય યુઝરસ્પેસ અને/અથવા TLS આધારિત સોલ્યુશન્સ જેમ કે OpenVPN બંનેને બદલવાનો છે જ્યારે [ટૂલ] વધુ સુરક્ષિત, કાર્યક્ષમ અને ઉપયોગમાં સરળ છે.

અલબત્ત, તમામ નવી તકનીકોનો મુખ્ય ફાયદો તેમના છે સરળતા [પૂર્વગામીઓની સરખામણીમાં]. પરંતુ VPN પણ હોવું જોઈએ કાર્યક્ષમ અને સલામત.

તો, આગળ શું છે?

જો તમે કહો કે આ તમને [VPNમાંથી] જોઈતું નથી, તો તમે અહીં વાંચન સમાપ્ત કરી શકો છો. જો કે, હું નોંધ કરીશ કે આવા કાર્યો અન્ય કોઈપણ ટનલીંગ ટેક્નોલોજી માટે સેટ કરેલ છે.

ઉપરોક્ત અવતરણમાંથી સૌથી વધુ રસપ્રદ "મોટા ભાગના કિસ્સાઓમાં" શબ્દોમાં આવેલું છે, જે, અલબત્ત, પ્રેસ દ્વારા અવગણવામાં આવ્યા હતા. અને તેથી, આ બેદરકારી દ્વારા સર્જાયેલી અરાજકતાને લીધે આપણે જ્યાં સમાપ્ત થયા ત્યાં જ છીએ - આ લેખમાં.

શું WireGuard મારા [IPsec] સાઇટ-ટુ-સાઇટ VPN ને બદલશે?

ના. સિસ્કો, જ્યુનિપર અને અન્ય જેવા મોટા વિક્રેતાઓ તેમના ઉત્પાદનો માટે વાયરગાર્ડ ખરીદશે તેવી કોઈ શક્યતા નથી. તેઓ ચાલતી વખતે "પાસતી ટ્રેનો પર કૂદી" જતા નથી સિવાય કે આવું કરવાની કોઈ મોટી જરૂર હોય. પછીથી, હું કેટલાક કારણો પર જઈશ કે શા માટે તેઓ ઇચ્છે તો પણ તેઓ તેમના વાયરગાર્ડ ઉત્પાદનોને બોર્ડ પર મેળવી શકશે નહીં.

શું વાયરગાર્ડ મારા રોડવોરિયરને મારા લેપટોપમાંથી ડેટા સેન્ટર પર લઈ જશે?

ના. અત્યારે, WireGuard પાસે આના જેવું કંઈક કરવા માટે સક્ષમ થવા માટે અમલમાં મૂકાયેલ મહત્વપૂર્ણ સુવિધાઓની વિશાળ સંખ્યા નથી. ઉદાહરણ તરીકે, તે ટનલ સર્વર બાજુ પર ગતિશીલ IP સરનામાંનો ઉપયોગ કરી શકતું નથી, અને આ એકલા ઉત્પાદનના આવા ઉપયોગના સમગ્ર દૃશ્યને તોડે છે.

IPFire નો ઉપયોગ ઘણીવાર સસ્તા ઈન્ટરનેટ લિંક્સ માટે થાય છે, જેમ કે DSL અથવા કેબલ કનેક્શન. આ નાના અથવા મધ્યમ વ્યવસાયો માટે અર્થપૂર્ણ બને છે જેને ઝડપી ફાઇબરની જરૂર નથી. [અનુવાદક તરફથી નોંધ: ભૂલશો નહીં કે સંદેશાવ્યવહારની દ્રષ્ટિએ, રશિયા અને કેટલાક CIS દેશો યુરોપ અને યુનાઇટેડ સ્ટેટ્સ કરતાં ઘણા આગળ છે, કારણ કે અમે અમારા નેટવર્ક્સ બનાવવાનું શરૂ કર્યું છે અને ઇથરનેટ અને ફાઇબર ઓપ્ટિક નેટવર્કના આગમન સાથે. માનક, અમારા માટે પુનઃબીલ્ડ કરવું સરળ હતું. EU અથવા USA ના સમાન દેશોમાં, 3-5 Mbps ની ઝડપે xDSL બ્રોડબેન્ડ એક્સેસ હજી પણ સામાન્ય ધોરણ છે, અને ફાઈબર ઓપ્ટિક કનેક્શન માટે અમારા ધોરણો દ્વારા કેટલાક અવાસ્તવિક પૈસા ખર્ચ થાય છે. તેથી, લેખના લેખક ડીએસએલ અથવા કેબલ કનેક્શનને ધોરણ તરીકે બોલે છે, અને પ્રાચીન સમયમાં નહીં.] જો કે, DSL, કેબલ, LTE (અને અન્ય વાયરલેસ એક્સેસ પદ્ધતિઓ) ગતિશીલ IP સરનામાઓ ધરાવે છે. અલબત્ત, કેટલીકવાર તેઓ વારંવાર બદલાતા નથી, પરંતુ તેઓ બદલાય છે.

નામનો એક સબપ્રોજેક્ટ છે "ડબલ્યુજી-ડાયનેમિક", જે આ ખામીને દૂર કરવા માટે યુઝરસ્પેસ ડિમન ઉમેરે છે. ઉપર વર્ણવેલ વપરાશકર્તા દૃશ્ય સાથેની એક મોટી સમસ્યા ગતિશીલ IPv6 એડ્રેસિંગની ઉત્તેજના છે.

ડિસ્ટ્રીબ્યુટરના દૃષ્ટિકોણથી, આ બધું ખૂબ સારું લાગતું નથી. ડિઝાઇન ધ્યેયો પૈકી એક પ્રોટોકોલને સરળ અને સ્વચ્છ રાખવાનો હતો.

કમનસીબે, આ બધું વાસ્તવમાં ખૂબ જ સરળ અને આદિમ બની ગયું છે, જેથી આ આખી ડિઝાઈનને વાસ્તવિક ઉપયોગ માટે સક્ષમ બનાવવા માટે આપણે વધારાના સોફ્ટવેરનો ઉપયોગ કરવો પડશે.

શું WireGuard વાપરવું એટલું સરળ છે?

હજી નહિં. હું એમ નથી કહેતો કે બે બિંદુઓ વચ્ચે ટનલ બનાવવા માટે વાયરગાર્ડ ક્યારેય સારો વિકલ્પ બની શકશે નહીં, પરંતુ અત્યારે તે ઉત્પાદનનું માત્ર એક આલ્ફા સંસ્કરણ છે જે તે માનવામાં આવે છે.

પરંતુ પછી તે ખરેખર શું કરે છે? શું IPsec જાળવવું ખરેખર એટલું મુશ્કેલ છે?

દેખીતી રીતે નથી. IPsec વિક્રેતાએ આ વિશે વિચાર્યું છે અને તેમના ઉત્પાદનને ઇન્ટરફેસ સાથે મોકલે છે, જેમ કે IPFire સાથે.

IPsec પર VPN ટનલ સેટ કરવા માટે, તમારે ડેટાના પાંચ સેટની જરૂર પડશે જે તમારે રૂપરેખાંકનમાં દાખલ કરવાની જરૂર પડશે: તમારું પોતાનું સાર્વજનિક IP સરનામું, પ્રાપ્ત કરનાર પક્ષનું જાહેર IP સરનામું, સબનેટ કે જેના દ્વારા તમે સાર્વજનિક બનાવવા માંગો છો. આ VPN કનેક્શન અને પ્રી-શેર્ડ કી. આમ, VPN મિનિટોમાં સેટ થઈ જાય છે અને કોઈપણ વિક્રેતા સાથે સુસંગત છે.

કમનસીબે, આ વાર્તામાં થોડા અપવાદો છે. કોઈપણ જેણે IPsec ને OpenBSD મશીન પર ટનલ કરવાનો પ્રયાસ કર્યો છે તે જાણે છે કે હું શું વાત કરી રહ્યો છું. ત્યાં થોડા વધુ પીડાદાયક ઉદાહરણો છે, પરંતુ વાસ્તવમાં, IPsec નો ઉપયોગ કરવા માટે ઘણી વધુ સારી પદ્ધતિઓ છે.

પ્રોટોકોલ જટિલતા વિશે

અંતિમ વપરાશકર્તાને પ્રોટોકોલની જટિલતા વિશે ચિંતા કરવાની જરૂર નથી.

જો આપણે એવી દુનિયામાં રહેતા હોઈએ જ્યાં આ વપરાશકર્તાની વાસ્તવિક ચિંતા હતી, તો અમે દસ વર્ષ કરતાં વધુ સમય પહેલાં બનાવેલા SIP, H.323, FTP અને અન્ય પ્રોટોકોલથી છૂટકારો મેળવી શક્યા હોત જે NAT સાથે સારી રીતે કામ કરતા નથી.

WireGuard કરતાં IPsec વધુ જટિલ હોવાના કારણો છે: તે ઘણું બધું કરે છે. ઉદાહરણ તરીકે, લોગિન / પાસવર્ડ અથવા EAP સાથે સિમ કાર્ડનો ઉપયોગ કરીને વપરાશકર્તા પ્રમાણીકરણ. તેમાં નવું ઉમેરવાની વિસ્તૃત ક્ષમતા છે ક્રિપ્ટોગ્રાફિક આદિમ.

અને વાયરગાર્ડ પાસે તે નથી.

અને આનો અર્થ એ છે કે વાયરગાર્ડ અમુક સમયે તૂટી જશે, કારણ કે ક્રિપ્ટોગ્રાફિક પ્રિમિટિવ્સમાંથી એક નબળું પડી જશે અથવા સંપૂર્ણપણે સમાધાન થઈ જશે. તકનીકી દસ્તાવેજોના લેખક આ કહે છે:

તે નોંધવું યોગ્ય છે કે વાયરગાર્ડ ક્રિપ્ટોગ્રાફિકલી અભિપ્રાય ધરાવે છે. તે ઇરાદાપૂર્વક સાઇફર અને પ્રોટોકોલની લવચીકતાનો અભાવ ધરાવે છે. જો અન્ડરલાઇંગ પ્રિમિટિવ્સમાં ગંભીર છિદ્રો જોવા મળે, તો તમામ અંતિમ બિંદુઓને અપડેટ કરવાની જરૂર પડશે. જેમ તમે SLL/TLS નબળાઈઓના ચાલુ પ્રવાહમાંથી જોઈ શકો છો, એન્ક્રિપ્શનની લવચીકતા હવે ખૂબ જ વધી ગઈ છે.

છેલ્લું વાક્ય એકદમ સાચું છે.

કયા એન્ક્રિપ્શનનો ઉપયોગ કરવો તે અંગે સર્વસંમતિ સુધી પહોંચવાથી IKE અને TLS જેવા પ્રોટોકોલ બને છે વધુ જટિલ ખૂબ જટિલ? હા, TLS/SSL માં નબળાઈઓ એકદમ સામાન્ય છે, અને તેનો કોઈ વિકલ્પ નથી.

વાસ્તવિક સમસ્યાઓને અવગણવા પર

કલ્પના કરો કે તમારી પાસે વિશ્વભરમાં ક્યાંક 200 કોમ્બેટ ક્લાયંટ સાથેનું VPN સર્વર છે. આ એક સુંદર પ્રમાણભૂત ઉપયોગ કેસ છે. જો તમારે એન્ક્રિપ્શન બદલવું હોય, તો તમારે આ લેપટોપ્સ, સ્માર્ટફોન્સ વગેરે પર WireGuardની તમામ નકલો પર અપડેટ પહોંચાડવાની જરૂર છે. સાથોસાથ પહોંચાડો. તે શાબ્દિક રીતે અશક્ય છે. આ કરવાનો પ્રયાસ કરી રહેલા પ્રબંધકોને જરૂરી રૂપરેખાંકનો જમાવવામાં મહિનાઓ લાગશે, અને આવી ઘટનાને દૂર કરવામાં શાબ્દિક રીતે મધ્યમ કદની કંપનીને વર્ષો લાગશે.

IPsec અને OpenVPN સાઇફર નેગોશિયેશન સુવિધા આપે છે. તેથી, થોડા સમય માટે જે પછી તમે નવું એન્ક્રિપ્શન ચાલુ કરો છો, જૂનું પણ કામ કરશે. આ વર્તમાન ગ્રાહકોને નવા સંસ્કરણ પર અપગ્રેડ કરવાની મંજૂરી આપશે. અપડેટ રોલ આઉટ થયા પછી, તમે ફક્ત નબળા એન્ક્રિપ્શનને બંધ કરો. અને તે બધુ જ છે! તૈયાર! તમે બહુ જ સુંદર છો! ગ્રાહકો તેની નોંધ પણ લેશે નહીં.

આ વાસ્તવમાં મોટી જમાવટ માટે ખૂબ જ સામાન્ય કેસ છે, અને OpenVPN ને પણ આમાં થોડી મુશ્કેલી છે. પછાત સુસંગતતા મહત્વપૂર્ણ છે, અને ભલે તમે નબળા એન્ક્રિપ્શનનો ઉપયોગ કરો છો, ઘણા લોકો માટે, આ વ્યવસાય બંધ કરવાનું કારણ નથી. કારણ કે તે સેંકડો ગ્રાહકોના કામને તેમની કામગીરી કરવામાં અસમર્થતાને કારણે લકવાગ્રસ્ત કરશે.

વાયરગાર્ડ ટીમે તેમનો પ્રોટોકોલ સરળ બનાવ્યો છે, પરંતુ તે લોકો માટે સંપૂર્ણપણે બિનઉપયોગી છે કે જેઓ તેમના ટનલમાં બંને સાથીદારો પર સતત નિયંત્રણ ધરાવતા નથી. મારા અનુભવમાં, આ સૌથી સામાન્ય દૃશ્ય છે.

ક્રિપ્ટોગ્રાફી!

પરંતુ આ રસપ્રદ નવું એન્ક્રિપ્શન શું છે જે વાયરગાર્ડ વાપરે છે?

WireGuard કી એક્સચેન્જ માટે Curve25519, એન્ક્રિપ્શન માટે ChaCha20 અને ડેટા ઓથેન્ટિકેશન માટે Poly1305 નો ઉપયોગ કરે છે. તે હેશ કી માટે SipHash અને હેશિંગ માટે BLAKE2 સાથે પણ કામ કરે છે.

ChaCha20-Poly1305 IPsec અને OpenVPN (TLS પર) માટે પ્રમાણિત છે.

તે સ્પષ્ટ છે કે ડેનિયલ બર્નસ્ટેઇનના વિકાસનો ઉપયોગ ઘણી વાર થાય છે. BLAKE2 એ BLAKEનો અનુગામી છે, જે SHA-3 ફાઇનલિસ્ટ છે જે SHA-2 સાથે તેની સમાનતાને કારણે જીતી શક્યો નથી. જો SHA-2 ને તોડવામાં આવશે, તો બ્લેક સાથે પણ સમાધાન કરવામાં આવશે તેવી સારી તક હતી.

IPsec અને OpenVPN ને તેમની ડિઝાઇનને કારણે SipHash ની જરૂર નથી. તેથી એકમાત્ર વસ્તુ જે હાલમાં તેમની સાથે ઉપયોગમાં લઈ શકાતી નથી તે છે BLAKE2, અને તે માત્ર ત્યાં સુધી છે જ્યાં સુધી તે પ્રમાણિત ન થાય. આ કોઈ મોટી ખામી નથી, કારણ કે VPNs અખંડિતતા બનાવવા માટે HMAC નો ઉપયોગ કરે છે, જે MD5 સાથે જોડાણમાં પણ મજબૂત ઉકેલ માનવામાં આવે છે.

તેથી હું નિષ્કર્ષ પર આવ્યો કે તમામ VPN માં ક્રિપ્ટોગ્રાફિક ટૂલ્સનો લગભગ સમાન સેટ વપરાય છે. તેથી, જ્યારે એન્ક્રિપ્શન અથવા ટ્રાન્સમિટેડ ડેટાની અખંડિતતાની વાત આવે છે ત્યારે વાયરગાર્ડ અન્ય કોઈપણ વર્તમાન ઉત્પાદન કરતાં વધુ કે ઓછું સુરક્ષિત નથી.

પરંતુ આ પણ સૌથી મહત્વપૂર્ણ વસ્તુ નથી, જે પ્રોજેક્ટના સત્તાવાર દસ્તાવેજો અનુસાર ધ્યાન આપવા યોગ્ય છે. છેવટે, મુખ્ય વસ્તુ ઝડપ છે.

શું વાયરગાર્ડ અન્ય VPN સોલ્યુશન્સ કરતાં ઝડપી છે?

ટૂંકમાં: ના, ઝડપી નથી.

ChaCha20 એ સ્ટ્રીમ સાઇફર છે જે સોફ્ટવેરમાં અમલમાં મૂકવું સરળ છે. તે એક સમયે એક બીટ એન્ક્રિપ્ટ કરે છે. AES જેવા બ્લોક પ્રોટોકોલ એક સમયે બ્લોક 128 બિટ્સને એન્ક્રિપ્ટ કરે છે. હાર્ડવેર સપોર્ટને અમલમાં મૂકવા માટે વધુ ટ્રાન્ઝિસ્ટરની જરૂર પડે છે, તેથી મોટા પ્રોસેસર્સ AES-NI સાથે આવે છે, એક સૂચના સેટ એક્સ્ટેંશન જે તેને ઝડપી બનાવવા માટે એન્ક્રિપ્શન પ્રક્રિયાના કેટલાક કાર્યો કરે છે.

એવી અપેક્ષા હતી કે AES-NI ક્યારેય સ્માર્ટફોનમાં નહીં આવે [પરંતુ તે થયું — આશરે. પ્રતિ.]. આ માટે, ChaCha20 ને હળવા વજનના, બેટરી બચત વિકલ્પ તરીકે વિકસાવવામાં આવ્યું હતું. તેથી, તે તમારા માટે સમાચાર બની શકે છે કે તમે આજે ખરીદી શકો તે દરેક સ્માર્ટફોનમાં અમુક પ્રકારનો AES પ્રવેગક હોય છે અને તે ChaCha20 કરતાં આ એન્ક્રિપ્શન સાથે ઝડપી અને ઓછા પાવર વપરાશ સાથે ચાલે છે.

દેખીતી રીતે, છેલ્લા કેટલાક વર્ષોમાં ખરીદેલ લગભગ દરેક ડેસ્કટોપ/સર્વર પ્રોસેસરમાં AES-NI છે.

તેથી, હું અપેક્ષા રાખું છું કે AES દરેક એક દૃશ્યમાં ChaCha20 ને આઉટપરફોર્મ કરશે. વાયરગાર્ડના અધિકૃત દસ્તાવેજોમાં ઉલ્લેખ કરવામાં આવ્યો છે કે AVX512 સાથે, ChaCha20-Poly1305 AES-NI કરતાં વધુ પ્રદર્શન કરશે, પરંતુ આ સૂચના સેટ એક્સ્ટેંશન ફક્ત મોટા CPU પર જ ઉપલબ્ધ રહેશે, જે ફરીથી નાના અને વધુ મોબાઇલ હાર્ડવેરમાં મદદ કરશે નહીં, જે હંમેશા AES સાથે ઝડપી રહેશે. - N.I.

મને ખાતરી નથી કે વાયરગાર્ડના વિકાસ દરમિયાન આનું અનુમાન કરવામાં આવ્યું હશે કે કેમ, પરંતુ આજે હકીકત એ છે કે તે એકલા એન્ક્રિપ્શન પર ખીલી છે તે પહેલેથી જ એક ખામી છે જે તેના ઓપરેશનને સારી રીતે અસર કરી શકશે નહીં.

IPsec તમને મુક્તપણે તમારા કેસ માટે કયું એન્ક્રિપ્શન શ્રેષ્ઠ છે તે પસંદ કરવાની મંજૂરી આપે છે. અને અલબત્ત, આ જરૂરી છે જો, ઉદાહરણ તરીકે, તમે VPN કનેક્શન દ્વારા 10 અથવા વધુ ગીગાબાઇટ્સ ડેટા ટ્રાન્સફર કરવા માંગતા હોવ.

Linux માં એકીકરણ સમસ્યાઓ

વાયરગાર્ડે આધુનિક એન્ક્રિપ્શન પ્રોટોકોલ પસંદ કર્યો હોવા છતાં, આ પહેલેથી જ ઘણી સમસ્યાઓનું કારણ બને છે. અને તેથી, બૉક્સની બહાર કર્નલ દ્વારા સપોર્ટેડ છે તેનો ઉપયોગ કરવાને બદલે, લિનક્સમાં આ આદિમના અભાવને કારણે વાયરગાર્ડનું એકીકરણ વર્ષોથી વિલંબિત છે.

અન્ય ઓપરેટિંગ સિસ્ટમો પર પરિસ્થિતિ શું છે તેની મને સંપૂર્ણ ખાતરી નથી, પરંતુ તે કદાચ Linux કરતાં ઘણી અલગ નથી.

વાસ્તવિકતા કેવી દેખાય છે?

દુર્ભાગ્યવશ, જ્યારે પણ કોઈ ક્લાયંટ મને તેમના માટે VPN કનેક્શન સેટ કરવા માટે કહે છે, ત્યારે હું આ સમસ્યામાં દોડું છું કે તેઓ જૂના ઓળખપત્રો અને એન્ક્રિપ્શનનો ઉપયોગ કરી રહ્યાં છે. MD3 સાથે 5DES એ હજુ પણ સામાન્ય પ્રથા છે, જેમ કે AES-256 અને SHA1 છે. અને જોકે બાદમાં થોડું સારું છે, આ એવી વસ્તુ નથી જેનો ઉપયોગ 2020 માં થવો જોઈએ.

કી વિનિમય માટે હંમેશાં RSA નો ઉપયોગ થાય છે - એક ધીમું પરંતુ એકદમ સલામત સાધન.

મારા ગ્રાહકો કસ્ટમ સત્તાવાળાઓ અને અન્ય સરકારી સંસ્થાઓ અને સંસ્થાઓ સાથે તેમજ મોટા કોર્પોરેશનો સાથે સંકળાયેલા છે જેમના નામ સમગ્ર વિશ્વમાં જાણીતા છે. તેઓ બધા એક વિનંતી ફોર્મનો ઉપયોગ કરે છે જે દાયકાઓ પહેલા બનાવવામાં આવ્યું હતું, અને SHA-512 નો ઉપયોગ કરવાની ક્ષમતા ક્યારેય ઉમેરવામાં આવી ન હતી. હું એમ કહી શકતો નથી કે તે કોઈક રીતે સ્પષ્ટપણે તકનીકી પ્રગતિને અસર કરે છે, પરંતુ દેખીતી રીતે તે કોર્પોરેટ પ્રક્રિયાને ધીમી કરે છે.

આ જોઈને મને દુઃખ થાય છે કારણ કે IPsec 2005 થી લંબગોળ વળાંકને સમર્થન આપી રહ્યું છે. Curve25519 પણ નવું અને ઉપયોગ માટે ઉપલબ્ધ છે. કેમેલિયા અને ChaCha20 જેવા AES માટે વિકલ્પો પણ છે, પરંતુ દેખીતી રીતે તે બધા સિસ્કો અને અન્ય જેવા મોટા વિક્રેતાઓ દ્વારા સમર્થિત નથી.

અને લોકો તેનો લાભ લે છે. ત્યાં ઘણી સિસ્કો કિટ્સ છે, સિસ્કો સાથે કામ કરવા માટે ઘણી બધી કિટ્સ ડિઝાઇન કરવામાં આવી છે. તેઓ આ સેગમેન્ટમાં માર્કેટ લીડર છે અને તેમને કોઈપણ પ્રકારની નવીનતામાં બહુ રસ નથી.

હા, પરિસ્થિતિ [કોર્પોરેટ સેગમેન્ટમાં] ભયંકર છે, પરંતુ અમે વાયરગાર્ડને કારણે કોઈ ફેરફાર જોઈશું નહીં. વિક્રેતાઓ કદાચ ટૂલિંગ અને એન્ક્રિપ્શન સાથેની કોઈપણ કામગીરીની સમસ્યાઓ જોશે નહીં જે તેઓ પહેલેથી જ ઉપયોગ કરી રહ્યાં છે, IKEv2 સાથે કોઈ સમસ્યા જોશે નહીં, અને તેથી તેઓ વિકલ્પો શોધી રહ્યાં નથી.

સામાન્ય રીતે, શું તમે ક્યારેય સિસ્કોને છોડી દેવા વિશે વિચાર્યું છે?

બેન્ચમાર્ક

અને હવે ચાલો વાયરગાર્ડ દસ્તાવેજીકરણમાંથી બેન્ચમાર્ક પર આગળ વધીએ. જો કે આ [દસ્તાવેજીકરણ] વૈજ્ઞાનિક લેખ નથી, તેમ છતાં હું વિકાસકર્તાઓ પાસે વધુ વૈજ્ઞાનિક અભિગમ અપનાવે અથવા સંદર્ભ તરીકે વૈજ્ઞાનિક અભિગમનો ઉપયોગ કરે તેવી અપેક્ષા રાખતો હતો. કોઈપણ માપદંડ નકામું છે જો તે પુનઃઉત્પાદિત કરી શકાતા નથી, અને જ્યારે તે પ્રયોગશાળામાં મેળવવામાં આવે ત્યારે તે વધુ નકામું છે.

વાયરગાર્ડના લિનક્સ બિલ્ડમાં, તે GSO - જેનેરિક સેગ્મેન્ટેશન ઓફલોડિંગનો ઉપયોગ કરવાનો લાભ લે છે. તેના માટે આભાર, ક્લાયંટ 64 કિલોબાઈટનું વિશાળ પેકેટ બનાવે છે અને તેને એક જ વારમાં એન્ક્રિપ્ટ/ડિક્રિપ્ટ કરે છે. આમ, ક્રિપ્ટોગ્રાફિક કામગીરીને બોલાવવા અને અમલમાં મૂકવાની કિંમતમાં ઘટાડો થાય છે. જો તમે તમારા VPN કનેક્શનના થ્રુપુટને મહત્તમ કરવા માંગો છો, તો આ એક સારો વિચાર છે.

પરંતુ, હંમેશની જેમ, વાસ્તવિકતા એટલી સરળ નથી. નેટવર્ક એડેપ્ટર પર આટલા મોટા પેકેટને મોકલવા માટે તેને ઘણા નાના પેકેટોમાં કાપવાની જરૂર છે. સામાન્ય મોકલવાનું કદ 1500 બાઇટ્સ છે. એટલે કે, અમારા 64 કિલોબાઈટના વિશાળને 45 પેકેટમાં વિભાજિત કરવામાં આવશે (1240 બાઈટ્સ માહિતી અને 20 બાઈટ્સ આઈપી હેડર). પછી, થોડા સમય માટે, તેઓ નેટવર્ક એડેપ્ટરના કાર્યને સંપૂર્ણપણે અવરોધિત કરશે, કારણ કે તેઓ એકસાથે અને એક જ સમયે મોકલવા આવશ્યક છે. પરિણામે, આ અગ્રતા જમ્પ તરફ દોરી જશે, અને VoIP જેવા પેકેટો, ઉદાહરણ તરીકે, કતારમાં હશે.

આમ, ઉચ્ચ થ્રુપુટ કે જે વાયરગાર્ડ હિંમતપૂર્વક દાવો કરે છે તે અન્ય એપ્લિકેશનોના નેટવર્કિંગને ધીમું કરવાના ખર્ચે પ્રાપ્ત થાય છે. અને વાયરગાર્ડ ટીમ પહેલેથી જ છે પુષ્ટિ આ મારું નિષ્કર્ષ છે.

પણ ચાલો આગળ વધીએ.

ટેક્નિકલ દસ્તાવેજીકરણમાં બેન્ચમાર્ક અનુસાર, કનેક્શન 1011 Mbps નું થ્રુપુટ દર્શાવે છે.

પ્રભાવશાળી.

આ ખાસ કરીને પ્રભાવશાળી છે કારણ કે સિંગલ ગીગાબીટ ઈથરનેટ કનેક્શનનું મહત્તમ સૈદ્ધાંતિક થ્રુપુટ 966 Mbps છે જેનું પેકેટ કદ 1500 બાઈટ માઈનસ 20 આઈપી હેડર માટે, યુડીપી હેડર માટે 8 બાઈટ અને હેડર માટે 16 બાઈટ છે. વાયરગાર્ડ પોતે. એન્કેપ્સ્યુલેટેડ પેકેટમાં વધુ એક IP હેડર છે અને 20 બાઈટ માટે TCPમાં બીજું એક છે. તો આ વધારાની બેન્ડવિડ્થ ક્યાંથી આવી?

વિશાળ ફ્રેમ્સ અને GSO ના ફાયદાઓ સાથે અમે ઉપર વાત કરી છે, 9000 બાઈટના ફ્રેમ કદ માટે સૈદ્ધાંતિક મહત્તમ 1014 Mbps હશે. સામાન્ય રીતે આવા થ્રુપુટ વાસ્તવિકતામાં અપ્રાપ્ય છે, કારણ કે તે મોટી મુશ્કેલીઓ સાથે સંકળાયેલ છે. આમ, હું માત્ર એવું માની શકું છું કે પરીક્ષણ 64 કિલોબાઈટના વધુ મોટા કદના ફ્રેમ્સનો ઉપયોગ કરીને કરવામાં આવ્યું હતું, જેમાં સૈદ્ધાંતિક મહત્તમ 1023 Mbps છે, જે ફક્ત કેટલાક નેટવર્ક એડેપ્ટરો દ્વારા સપોર્ટેડ છે. પરંતુ આ વાસ્તવિક પરિસ્થિતિઓમાં સંપૂર્ણપણે અયોગ્ય છે, અથવા ફક્ત બે સીધા જોડાયેલા સ્ટેશનો વચ્ચે જ વાપરી શકાય છે, ફક્ત ટેસ્ટ બેન્ચની અંદર.

પરંતુ VPN ટનલ ઈન્ટરનેટ કનેક્શનનો ઉપયોગ કરીને બે હોસ્ટ્સ વચ્ચે ફોરવર્ડ કરવામાં આવે છે જે જમ્બો ફ્રેમ્સને બિલકુલ સપોર્ટ કરતું નથી, તેથી બેન્ચ પર પ્રાપ્ત પરિણામને બેન્ચમાર્ક તરીકે લઈ શકાય નહીં. આ ફક્ત એક અવાસ્તવિક પ્રયોગશાળા સિદ્ધિ છે જે વાસ્તવિક લડાઇની પરિસ્થિતિઓમાં અશક્ય અને અયોગ્ય છે.

ડેટા સેન્ટરમાં બેસીને પણ હું 9000 બાઈટથી મોટી ફ્રેમ ટ્રાન્સફર કરી શક્યો નથી.

વાસ્તવિક જીવનમાં લાગુ થવાના માપદંડનું સંપૂર્ણપણે ઉલ્લંઘન કરવામાં આવ્યું છે અને, જેમ મને લાગે છે, "માપન" ના લેખકે સ્પષ્ટ કારણોસર પોતાને ગંભીરતાથી બદનામ કર્યો છે.

આશાની છેલ્લી ઝાંખી

આ WireGuard વેબસાઇટ કન્ટેનર વિશે ઘણી વાતો કરે છે અને તે સ્પષ્ટ થાય છે કે તે ખરેખર શેના માટે બનાવાયેલ છે.

એક સરળ અને ઝડપી VPN જેને કોઈ રૂપરેખાંકનની જરૂર નથી અને એમેઝોન જેવા વિશાળ ઓર્કેસ્ટ્રેશન ટૂલ્સ તેમના ક્લાઉડમાં છે તેની સાથે જમાવટ અને ગોઠવી શકાય છે. ખાસ કરીને, એમેઝોન નવીનતમ હાર્ડવેર સુવિધાઓનો ઉપયોગ કરે છે જેનો મેં અગાઉ ઉલ્લેખ કર્યો છે, જેમ કે AVX512. આ કામને ઝડપી બનાવવા માટે કરવામાં આવે છે અને x86 અથવા અન્ય કોઈપણ આર્કિટેક્ચર સાથે જોડાયેલું નથી.

તેઓ 9000 બાઈટ કરતા મોટા થ્રુપુટ અને પેકેટોને ઓપ્ટિમાઇઝ કરે છે - આ કન્ટેનર માટે એકબીજા સાથે વાતચીત કરવા માટે અથવા બેકઅપ કામગીરી માટે, સ્નેપશોટ બનાવવા અથવા આ જ કન્ટેનરને જમાવવા માટે વિશાળ એન્કેપ્સ્યુલેટેડ ફ્રેમ્સ હશે. મેં વર્ણવેલ દૃશ્યના કિસ્સામાં ડાયનેમિક IP એડ્રેસ પણ વાયરગાર્ડની કામગીરીને કોઈપણ રીતે અસર કરશે નહીં.

સારું રમ્યા. તેજસ્વી અમલીકરણ અને ખૂબ જ પાતળું, લગભગ સંદર્ભ પ્રોટોકોલ.

પરંતુ તે ડેટા સેન્ટરની બહારની દુનિયામાં ફિટ નથી કે જેને તમે સંપૂર્ણપણે નિયંત્રિત કરો છો. જો તમે જોખમ લેશો અને વાયરગાર્ડનો ઉપયોગ કરવાનું શરૂ કરો છો, તો તમારે એન્ક્રિપ્શન પ્રોટોકોલની ડિઝાઇન અને અમલીકરણમાં સતત સમાધાન કરવું પડશે.

નિષ્કર્ષ

મારા માટે તારણ કાઢવું ​​સરળ છે કે વાયરગાર્ડ હજી તૈયાર નથી.

હાલના ઉકેલો સાથેની સંખ્યાબંધ સમસ્યાઓના હળવા અને ઝડપી ઉકેલ તરીકે તેની કલ્પના કરવામાં આવી હતી. કમનસીબે, આ સોલ્યુશન્સ ખાતર, તેણે ઘણી સુવિધાઓનો બલિદાન આપ્યો જે મોટાભાગના વપરાશકર્તાઓ માટે સુસંગત હશે. તેથી જ તે IPsec અથવા OpenVPN ને બદલી શકતું નથી.

WireGuard સ્પર્ધાત્મક બનવા માટે, તેને ઓછામાં ઓછું IP એડ્રેસ સેટિંગ અને રૂટીંગ અને DNS ગોઠવણી ઉમેરવાની જરૂર છે. દેખીતી રીતે, એન્ક્રિપ્ટેડ ચેનલો આ માટે છે.

સુરક્ષા મારી સર્વોચ્ચ અગ્રતા છે, અને અત્યારે મારી પાસે એવું માનવા માટે કોઈ કારણ નથી કે IKE અથવા TLS કોઈક રીતે ચેડાં કે તૂટેલા છે. આ બંનેમાં આધુનિક એન્ક્રિપ્શન સપોર્ટેડ છે, અને તે દાયકાઓના ઓપરેશન દ્વારા સાબિત થયું છે. માત્ર કારણ કે કંઈક નવું છે તેનો અર્થ એ નથી કે તે વધુ સારું છે.

જ્યારે તમે એવા તૃતીય પક્ષો સાથે વાતચીત કરો કે જેમના સ્ટેશનો તમે નિયંત્રિત નથી કરતા ત્યારે આંતરસંચાલનક્ષમતા અત્યંત મહત્વપૂર્ણ છે. IPsec એ વાસ્તવિક ધોરણ છે અને લગભગ દરેક જગ્યાએ સપોર્ટેડ છે. અને તે કામ કરે છે. અને ભલે તે કેવું દેખાય, સૈદ્ધાંતિક રીતે, વાયરગાર્ડ ભવિષ્યમાં તેના પોતાના વિવિધ સંસ્કરણો સાથે પણ સુસંગત નહીં હોય.

કોઈપણ ક્રિપ્ટોગ્રાફિક સંરક્ષણ વહેલા અથવા પછીના સમયમાં તૂટી જાય છે અને તે મુજબ, બદલવું અથવા અપડેટ કરવું આવશ્યક છે.

આ તમામ તથ્યોને નકારવા અને તમારા આઇફોનને તમારા હોમ વર્કસ્ટેશન સાથે કનેક્ટ કરવા માટે વાયરગાર્ડનો ઉપયોગ કરવા માટે આંખ આડા કાન કરવા એ તમારા માથાને રેતીમાં ચોંટાડવામાં માત્ર એક માસ્ટર ક્લાસ છે.

સોર્સ: www.habr.com