आपको वायरगार्ड का उपयोग क्यों नहीं करना चाहिए?

वायरगार्ड हाल ही में बहुत अधिक ध्यान आकर्षित कर रहा है, वास्तव में यह वीपीएन के बीच नया सितारा है। लेकिन क्या वह उतना अच्छा है जितना वह दिखता है? मैं कुछ टिप्पणियों पर चर्चा करना चाहूंगा और वायरगार्ड के कार्यान्वयन की समीक्षा करना चाहूंगा ताकि यह समझाया जा सके कि यह IPsec या OpenVPN को बदलने का समाधान क्यों नहीं है।

इस लेख में, मैं [वायरगार्ड के आसपास] कुछ मिथकों को दूर करना चाहूंगा। हां, इसे पढ़ने में काफी समय लगेगा, इसलिए यदि आपने अपने लिए एक कप चाय या कॉफी नहीं बनाई है, तो इसे करने का समय आ गया है। मैं अपने अराजक विचारों को सुधारने के लिए पीटर को भी धन्यवाद कहना चाहूँगा।

मैं वायरगार्ड के डेवलपर्स को बदनाम करने, उनके प्रयासों या विचारों का अवमूल्यन करने का लक्ष्य निर्धारित नहीं करता हूं। उनका उत्पाद काम कर रहा है, लेकिन व्यक्तिगत रूप से मुझे लगता है कि इसे वास्तव में जो है उससे बिल्कुल अलग प्रस्तुत किया गया है - इसे IPsec और OpenVPN के प्रतिस्थापन के रूप में प्रस्तुत किया गया है, जो वास्तव में अब मौजूद नहीं है।

एक नोट के रूप में, मैं यह जोड़ना चाहूंगा कि वायरगार्ड की ऐसी स्थिति की जिम्मेदारी उस मीडिया की है जिसने इसके बारे में बात की, न कि स्वयं परियोजना या इसके रचनाकारों की।

हाल ही में लिनक्स कर्नेल के बारे में बहुत अच्छी खबर नहीं आई है। इसलिए, हमें प्रोसेसर की राक्षसी कमजोरियों के बारे में बताया गया था, जिसे सॉफ़्टवेयर द्वारा समतल किया गया था, और लिनुस टोरवाल्ड्स ने डेवलपर की उपयोगितावादी भाषा में, इसके बारे में बहुत अशिष्टता और उबाऊ तरीके से बात की थी। शेड्यूलर या शून्य-स्तरीय नेटवर्किंग स्टैक भी चमकदार पत्रिकाओं के लिए बहुत स्पष्ट विषय नहीं हैं। और यहाँ वायरगार्ड आता है।

कागज पर, यह सब बहुत अच्छा लगता है: एक रोमांचक नई तकनीक।

लेकिन आइए इसे थोड़ा और करीब से देखें।

वायरगार्ड श्वेत पत्र

यह लेख पर आधारित है आधिकारिक वायरगार्ड दस्तावेज़ीकरणजेसन डोननफेल्ड द्वारा लिखित। वहां वह लिनक्स कर्नेल में [वायरगार्ड] की अवधारणा, उद्देश्य और तकनीकी कार्यान्वयन की व्याख्या करते हैं।

पहला वाक्य पढ़ता है:

वायरगार्ड […] का उद्देश्य अधिकांश उपयोग के मामलों में आईपीएसईसी और अन्य लोकप्रिय उपयोगकर्ता स्थान और/या ओपनवीपीएन जैसे टीएलएस आधारित समाधानों को अधिक सुरक्षित, प्रदर्शनशील और उपयोग में आसान [टूल] बनाना है।

बेशक, सभी नई प्रौद्योगिकियों का मुख्य लाभ उनका है आराम [पूर्ववर्तियों की तुलना में]। लेकिन एक वीपीएन भी होना चाहिए प्रभावी और सुरक्षित.

और आगे क्या है?

यदि आप कहते हैं कि यह वह नहीं है जिसकी आपको [वीपीएन से] आवश्यकता है, तो आप यहां पढ़ना समाप्त कर सकते हैं। हालाँकि, मैं ध्यान रखूँगा कि ऐसे कार्य किसी भी अन्य सुरंग निर्माण तकनीक के लिए निर्धारित हैं।

उपरोक्त उद्धरण में सबसे दिलचस्प बात "ज्यादातर मामलों में" शब्दों में निहित है, जिन्हें, निश्चित रूप से, प्रेस द्वारा नजरअंदाज कर दिया गया था। और इसलिए, हम वहीं हैं जहां हम इस लापरवाही से उत्पन्न अराजकता के कारण समाप्त हुए थे - इस लेख में।

क्या वायरगार्ड मेरी [आईपीसेक] साइट-टू-साइट वीपीएन की जगह लेगा?

नहीं। इसकी कोई संभावना नहीं है कि सिस्को, जुनिपर और अन्य जैसे बड़े विक्रेता अपने उत्पादों के लिए वायरगार्ड खरीदेंगे। वे चलते-फिरते "गुजरती ट्रेनों पर नहीं कूदते" जब तक कि ऐसा करने की कोई बहुत बड़ी आवश्यकता न हो। बाद में, मैं उन कुछ कारणों के बारे में बताऊंगा जिनकी वजह से वे चाहकर भी अपने वायरगार्ड उत्पादों को बोर्ड पर नहीं ला पाएंगे।

क्या वायरगार्ड मेरे रोडवॉरियर को मेरे लैपटॉप से ​​​​डेटा सेंटर तक ले जाएगा?

नहीं। अभी, वायरगार्ड के पास ऐसा कुछ करने में सक्षम होने के लिए बड़ी संख्या में महत्वपूर्ण सुविधाएँ लागू नहीं हैं। उदाहरण के लिए, यह टनल सर्वर साइड पर गतिशील आईपी पते का उपयोग नहीं कर सकता है, और यह अकेले उत्पाद के ऐसे उपयोग के पूरे परिदृश्य को तोड़ देता है।

IPFire का उपयोग अक्सर सस्ते इंटरनेट लिंक, जैसे DSL या केबल कनेक्शन के लिए किया जाता है। यह उन छोटे या मध्यम व्यवसायों के लिए समझ में आता है जिन्हें तेज़ फाइबर की आवश्यकता नहीं है। [अनुवादक का नोट: यह न भूलें कि संचार के मामले में, रूस और कुछ सीआईएस देश यूरोप और संयुक्त राज्य अमेरिका से बहुत आगे हैं, क्योंकि हमने अपने नेटवर्क का निर्माण बहुत बाद में और ईथरनेट और फाइबर ऑप्टिक नेटवर्क के आगमन के साथ शुरू किया था। मानक, हमारे लिए पुनर्निर्माण करना आसान था। यूरोपीय संघ या संयुक्त राज्य अमेरिका के समान देशों में, 3-5 एमबीपीएस की गति पर एक्सडीएसएल ब्रॉडबैंड एक्सेस अभी भी सामान्य मानक है, और फाइबर ऑप्टिक कनेक्शन के लिए हमारे मानकों के अनुसार कुछ अवास्तविक पैसा खर्च होता है। इसलिए, लेख के लेखक डीएसएल या केबल कनेक्शन को आदर्श मानते हैं, प्राचीन काल को नहीं।] हालाँकि, डीएसएल, केबल, एलटीई (और अन्य वायरलेस एक्सेस विधियों) में गतिशील आईपी पते होते हैं। बेशक, कभी-कभी वे बार-बार नहीं बदलते, लेकिन वे बदलते हैं।

नामक एक उपप्रोजेक्ट है "डब्ल्यूजी-गतिशील", जो इस कमी को दूर करने के लिए एक यूजरस्पेस डेमॉन जोड़ता है। ऊपर वर्णित उपयोगकर्ता परिदृश्य के साथ एक बड़ी समस्या गतिशील IPv6 एड्रेसिंग का बढ़ना है।

डिस्ट्रीब्यूटर के नजरिए से ये सब कुछ बहुत अच्छा भी नहीं लगता. डिज़ाइन लक्ष्यों में से एक प्रोटोकॉल को सरल और साफ़ रखना था।

दुर्भाग्य से, यह सब वास्तव में बहुत सरल और आदिम हो गया है, इसलिए हमें इस पूरे डिज़ाइन को वास्तविक उपयोग में व्यवहार्य बनाने के लिए अतिरिक्त सॉफ़्टवेयर का उपयोग करना होगा।

क्या वायरगार्ड का उपयोग करना इतना आसान है?

अभी तक नहीं। मैं यह नहीं कह रहा हूं कि वायरगार्ड कभी भी दो बिंदुओं के बीच सुरंग बनाने का एक अच्छा विकल्प नहीं होगा, लेकिन अभी के लिए यह उस उत्पाद का एक अल्फा संस्करण है जिसे इसे माना जाता है।

लेकिन फिर वह वास्तव में क्या करता है? क्या IPsec को बनाए रखना वाकई इतना कठिन है?

स्पष्टः नहीं। IPsec विक्रेता ने इस बारे में सोचा है और अपने उत्पाद को IPFire जैसे इंटरफ़ेस के साथ शिप करता है।

IPsec पर एक वीपीएन सुरंग स्थापित करने के लिए, आपको डेटा के पांच सेटों की आवश्यकता होगी जिन्हें आपको कॉन्फ़िगरेशन में दर्ज करना होगा: आपका अपना सार्वजनिक आईपी पता, प्राप्तकर्ता पार्टी का सार्वजनिक आईपी पता, सबनेट जिन्हें आप सार्वजनिक करना चाहते हैं यह वीपीएन कनेक्शन और पूर्व-साझा कुंजी। इस प्रकार, वीपीएन कुछ ही मिनटों में सेट हो जाता है और किसी भी विक्रेता के साथ संगत होता है।

दुर्भाग्य से, इस कहानी में कुछ अपवाद भी हैं। जिस किसी ने भी IPsec को OpenBSD मशीन तक पहुंचाने की कोशिश की है, वह जानता है कि मैं किस बारे में बात कर रहा हूं। कुछ और दर्दनाक उदाहरण हैं, लेकिन वास्तव में, IPsec का उपयोग करने के लिए कई और अच्छी प्रथाएं हैं।

प्रोटोकॉल जटिलता के बारे में

अंतिम उपयोगकर्ता को प्रोटोकॉल की जटिलता के बारे में चिंता करने की ज़रूरत नहीं है।

यदि हम ऐसी दुनिया में रहते जहां यह उपयोगकर्ता की वास्तविक चिंता थी, तो हमें दस साल से अधिक समय पहले बनाए गए एसआईपी, एच.323, एफ़टीपी और अन्य प्रोटोकॉल से छुटकारा मिल गया होता जो एनएटी के साथ अच्छी तरह से काम नहीं करते हैं।

IPsec वायरगार्ड की तुलना में अधिक जटिल होने के कई कारण हैं: यह बहुत अधिक कार्य करता है। उदाहरण के लिए, लॉगिन/पासवर्ड या ईएपी वाले सिम कार्ड का उपयोग करके उपयोगकर्ता प्रमाणीकरण। इसमें नया जोड़ने की विस्तारित क्षमता है क्रिप्टोग्राफ़िक आदिम.

और वायरगार्ड के पास वह नहीं है।

और इसका मतलब यह है कि वायरगार्ड किसी बिंदु पर टूट जाएगा, क्योंकि क्रिप्टोग्राफ़िक प्राइमेटिव्स में से एक कमजोर हो जाएगा या पूरी तरह से समझौता हो जाएगा। तकनीकी दस्तावेज़ के लेखक यह कहते हैं:

यह ध्यान देने योग्य है कि वायरगार्ड क्रिप्टोग्राफ़िक रूप से अभिमत है। इसमें जानबूझकर सिफर और प्रोटोकॉल के लचीलेपन का अभाव है। यदि अंतर्निहित प्राइमेटिव्स में गंभीर छेद पाए जाते हैं, तो सभी समापन बिंदुओं को अद्यतन करने की आवश्यकता होगी। जैसा कि आप एसएलएल/टीएलएस कमजोरियों की चल रही धारा से देख सकते हैं, एन्क्रिप्शन का लचीलापन अब काफी बढ़ गया है।

अंतिम वाक्य बिल्कुल सही है.

किस एन्क्रिप्शन का उपयोग करना है, इस पर आम सहमति तक पहुँचने से IKE और TLS जैसे प्रोटोकॉल बनते हैं अधिक है जटिल। बहुत जटिल? हां, टीएलएस/एसएसएल में कमजोरियां काफी आम हैं और उनका कोई विकल्प नहीं है।

वास्तविक समस्याओं को नजरअंदाज करने पर

कल्पना कीजिए कि आपके पास दुनिया भर में कहीं न कहीं 200 लड़ाकू ग्राहकों वाला एक वीपीएन सर्वर है। यह एक काफी मानक उपयोग का मामला है। यदि आपको एन्क्रिप्शन बदलना है, तो आपको इन लैपटॉप, स्मार्टफ़ोन इत्यादि पर वायरगार्ड की सभी प्रतियों में अपडेट वितरित करना होगा। एक साथ बाँटना। यह सचमुच असंभव है. ऐसा करने का प्रयास करने वाले प्रशासकों को आवश्यक कॉन्फ़िगरेशन को तैनात करने में महीनों लगेंगे, और इस तरह के आयोजन को पूरा करने में सचमुच एक मध्यम आकार की कंपनी को कई साल लगेंगे।

IPsec और OpenVPN एक सिफर वार्ता सुविधा प्रदान करते हैं। इसलिए, कुछ समय के लिए जिसके बाद आप नया एन्क्रिप्शन चालू करते हैं, पुराना भी काम करेगा। इससे मौजूदा ग्राहकों को नए वर्जन में अपग्रेड करने की सुविधा मिलेगी। अपडेट जारी होने के बाद, आप बस असुरक्षित एन्क्रिप्शन को बंद कर दें। और यह सबकुछ है! तैयार! तुम बहुत खूबसूरत हो! ग्राहकों को पता भी नहीं चलेगा.

यह वास्तव में बड़ी तैनाती के लिए एक बहुत ही सामान्य मामला है, और यहां तक ​​कि ओपनवीपीएन को भी इसमें कुछ कठिनाई होती है। बैकवर्ड संगतता महत्वपूर्ण है, और भले ही आप कमजोर एन्क्रिप्शन का उपयोग करते हैं, कई लोगों के लिए, यह किसी व्यवसाय को बंद करने का कारण नहीं है। क्योंकि इससे सैकड़ों ग्राहकों का काम ठप हो जाएगा क्योंकि वे अपना काम नहीं कर पाएंगे।

वायरगार्ड टीम ने अपने प्रोटोकॉल को सरल बना दिया है, लेकिन उन लोगों के लिए पूरी तरह से अनुपयोगी है जिनके पास अपनी सुरंग में दोनों साथियों पर निरंतर नियंत्रण नहीं है। मेरे अनुभव में, यह सबसे आम परिदृश्य है।

क्रिप्टोग्राफी!

लेकिन वायरगार्ड द्वारा उपयोग किया जाने वाला यह दिलचस्प नया एन्क्रिप्शन क्या है?

वायरगार्ड कुंजी विनिमय के लिए कर्व25519, एन्क्रिप्शन के लिए चाचा20 और डेटा प्रमाणीकरण के लिए पॉली1305 का उपयोग करता है। यह हैश कुंजियों के लिए SipHash और हैशिंग के लिए BLAKE2 के साथ भी काम करता है।

ChaCha20-Poly1305 को IPsec और OpenVPN (TLS से अधिक) के लिए मानकीकृत किया गया है।

यह स्पष्ट है कि डैनियल बर्नस्टीन के विकास का उपयोग अक्सर किया जाता है। BLAKE2, SHA-3 फाइनलिस्ट BLAKE का उत्तराधिकारी है, जो SHA-2 से समानता के कारण नहीं जीत सका। यदि SHA-2 को तोड़ा जाता, तो इस बात की अच्छी संभावना थी कि BLAKE से भी समझौता किया जाएगा।

IPsec और OpenVPN को उनके डिज़ाइन के कारण SipHash की आवश्यकता नहीं है। तो एकमात्र चीज़ जो वर्तमान में उनके साथ उपयोग नहीं की जा सकती वह BLAKE2 है, और यह केवल तब तक है जब तक यह मानकीकृत न हो जाए। यह कोई बड़ी कमी नहीं है, क्योंकि वीपीएन अखंडता बनाने के लिए एचएमएसी का उपयोग करते हैं, जिसे एमडी5 के साथ संयोजन में भी एक मजबूत समाधान माना जाता है।

इसलिए मैं इस निष्कर्ष पर पहुंचा कि सभी वीपीएन में क्रिप्टोग्राफ़िक टूल का लगभग समान सेट उपयोग किया जाता है। इसलिए, जब एन्क्रिप्शन या प्रसारित डेटा की अखंडता की बात आती है तो वायरगार्ड किसी भी अन्य मौजूदा उत्पाद की तुलना में अधिक या कम सुरक्षित नहीं है।

लेकिन यह भी सबसे महत्वपूर्ण बात नहीं है, जो परियोजना के आधिकारिक दस्तावेज के अनुसार ध्यान देने योग्य है। आख़िरकार, मुख्य चीज़ गति है।

क्या वायरगार्ड अन्य वीपीएन समाधानों से तेज़ है?

संक्षेप में: नहीं, इससे तेज़ नहीं।

चाचा20 एक स्ट्रीम सिफर है जिसे सॉफ्टवेयर में लागू करना आसान है। यह एक समय में एक बिट को एन्क्रिप्ट करता है। एईएस जैसे ब्लॉक प्रोटोकॉल एक समय में एक ब्लॉक को 128 बिट्स एन्क्रिप्ट करते हैं। हार्डवेयर समर्थन को लागू करने के लिए बहुत अधिक ट्रांजिस्टर की आवश्यकता होती है, इसलिए बड़े प्रोसेसर एईएस-एनआई के साथ आते हैं, एक निर्देश सेट एक्सटेंशन जो इसे तेज करने के लिए एन्क्रिप्शन प्रक्रिया के कुछ कार्यों को निष्पादित करता है।

यह उम्मीद की गई थी कि AES-NI कभी भी स्मार्टफ़ोन में नहीं आएगा [लेकिन ऐसा हुआ - लगभग। प्रति.]. इसके लिए, चाचा20 को एक हल्के, बैटरी-बचत विकल्प के रूप में विकसित किया गया था। इसलिए, यह आपके लिए खबर के रूप में आ सकता है कि आज आप जो भी स्मार्टफोन खरीद सकते हैं, उसमें किसी न किसी प्रकार का एईएस त्वरण होता है और यह चाचा 20 की तुलना में इस एन्क्रिप्शन के साथ तेज और कम बिजली की खपत के साथ चलता है।

जाहिर है, पिछले कुछ वर्षों में खरीदे गए लगभग हर डेस्कटॉप/सर्वर प्रोसेसर में AES-NI है।

इसलिए, मुझे उम्मीद है कि एईएस हर एक परिदृश्य में चाचा20 से बेहतर प्रदर्शन करेगा। वायरगार्ड के आधिकारिक दस्तावेज़ में उल्लेख है कि AVX512 के साथ, चाचा20-पॉली1305 एईएस-एनआई से बेहतर प्रदर्शन करेगा, लेकिन यह निर्देश सेट एक्सटेंशन केवल बड़े सीपीयू पर उपलब्ध होगा, जो फिर से छोटे और अधिक मोबाइल हार्डवेयर के साथ मदद नहीं करेगा, जो एईएस के साथ हमेशा तेज़ होगा - एन.आई.

मुझे यकीन नहीं है कि वायरगार्ड के विकास के दौरान इसकी कल्पना की जा सकती थी, लेकिन आज यह तथ्य कि इसे अकेले एन्क्रिप्शन से जोड़ा गया है, पहले से ही एक कमी है जो इसके संचालन को बहुत अच्छी तरह से प्रभावित नहीं कर सकती है।

IPsec आपको स्वतंत्र रूप से यह चुनने की अनुमति देता है कि आपके मामले के लिए कौन सा एन्क्रिप्शन सर्वोत्तम है। और निश्चित रूप से, यह आवश्यक है यदि, उदाहरण के लिए, आप वीपीएन कनेक्शन के माध्यम से 10 या अधिक गीगाबाइट डेटा स्थानांतरित करना चाहते हैं।

Linux में एकीकरण संबंधी समस्याएँ

हालाँकि वायरगार्ड ने एक आधुनिक एन्क्रिप्शन प्रोटोकॉल चुना है, लेकिन यह पहले से ही कई समस्याओं का कारण बनता है। और इसलिए, बॉक्स से बाहर कर्नेल द्वारा समर्थित चीज़ों का उपयोग करने के बजाय, लिनक्स में इन प्राइमेटिव्स की कमी के कारण वायरगार्ड के एकीकरण में वर्षों से देरी हो रही है।

मैं पूरी तरह से निश्चित नहीं हूं कि अन्य ऑपरेटिंग सिस्टम पर स्थिति क्या है, लेकिन यह संभवतः लिनक्स से बहुत अलग नहीं है।

वास्तविकता कैसी दिखती है?

दुर्भाग्य से, जब भी कोई ग्राहक मुझसे उनके लिए वीपीएन कनेक्शन स्थापित करने के लिए कहता है, तो मुझे समस्या आती है कि वे पुराने क्रेडेंशियल्स और एन्क्रिप्शन का उपयोग कर रहे हैं। एमडी3 के साथ संयोजन में 5डीईएस अभी भी आम चलन है, जैसे एईएस-256 और एसएचए1। और यद्यपि बाद वाला थोड़ा बेहतर है, यह ऐसी चीज़ नहीं है जिसका उपयोग 2020 में किया जाना चाहिए।

कुंजी विनिमय के लिए सदैव आरएसए का उपयोग किया जाता है - एक धीमा लेकिन काफी सुरक्षित उपकरण।

मेरे ग्राहक सीमा शुल्क अधिकारियों और अन्य सरकारी संगठनों और संस्थानों के साथ-साथ बड़े निगमों से जुड़े हैं जिनके नाम पूरी दुनिया में जाने जाते हैं। वे सभी एक अनुरोध फ़ॉर्म का उपयोग करते हैं जो दशकों पहले बनाया गया था, और SHA-512 का उपयोग करने की क्षमता कभी नहीं जोड़ी गई थी। मैं यह नहीं कह सकता कि यह किसी तरह तकनीकी प्रगति को स्पष्ट रूप से प्रभावित करता है, लेकिन जाहिर तौर पर यह कॉर्पोरेट प्रक्रिया को धीमा कर देता है।

यह देखकर मुझे दुख होता है क्योंकि IPsec 2005 से अण्डाकार वक्रों का समर्थन कर रहा है। कर्व25519 भी नया है और उपयोग के लिए उपलब्ध है। कैमेलिया और चाचा20 जैसे एईएस के विकल्प भी हैं, लेकिन जाहिर है कि उनमें से सभी सिस्को और अन्य जैसे प्रमुख विक्रेताओं द्वारा समर्थित नहीं हैं।

और लोग इसका फायदा उठाते हैं. कई सिस्को किट हैं, सिस्को के साथ काम करने के लिए कई किट डिज़ाइन की गई हैं। वे इस सेगमेंट में मार्केट लीडर हैं और किसी भी तरह के इनोवेशन में ज्यादा दिलचस्पी नहीं रखते हैं।

हां, स्थिति [कॉर्पोरेट सेगमेंट में] भयानक है, लेकिन वायरगार्ड के कारण हमें कोई बदलाव नहीं दिखेगा। विक्रेताओं को शायद पहले से ही उपयोग किए जा रहे टूलींग और एन्क्रिप्शन के साथ कोई प्रदर्शन समस्या नहीं दिखेगी, IKEv2 के साथ कोई समस्या नहीं दिखेगी, और इसलिए वे विकल्प की तलाश नहीं कर रहे हैं।

सामान्य तौर पर, क्या आपने कभी सिस्को को छोड़ने के बारे में सोचा है?

मानक

और अब आइए वायरगार्ड दस्तावेज़ीकरण से बेंचमार्क पर चलते हैं। हालाँकि यह [दस्तावेज़ीकरण] एक वैज्ञानिक लेख नहीं है, फिर भी मैं डेवलपर्स से अपेक्षा करता हूँ कि वे अधिक वैज्ञानिक दृष्टिकोण अपनाएँ, या संदर्भ के रूप में वैज्ञानिक दृष्टिकोण का उपयोग करें। कोई भी बेंचमार्क बेकार है यदि उन्हें पुन: प्रस्तुत नहीं किया जा सकता है, और जब वे प्रयोगशाला में प्राप्त किए जाते हैं तो और भी बेकार हो जाते हैं।

वायरगार्ड के लिनक्स बिल्ड में, यह जीएसओ - जेनेरिक सेगमेंटेशन ऑफलोडिंग का उपयोग करने का लाभ उठाता है। उसके लिए धन्यवाद, ग्राहक 64 किलोबाइट का एक विशाल पैकेट बनाता है और इसे एक बार में एन्क्रिप्ट / डिक्रिप्ट करता है। इस प्रकार, क्रिप्टोग्राफ़िक संचालन को लागू करने और लागू करने की लागत कम हो जाती है। यदि आप अपने वीपीएन कनेक्शन के थ्रूपुट को अधिकतम करना चाहते हैं, तो यह एक अच्छा विचार है।

लेकिन, हमेशा की तरह, वास्तविकता इतनी सरल नहीं है। इतने बड़े पैकेट को नेटवर्क एडॉप्टर पर भेजने के लिए इसे कई छोटे पैकेटों में काटने की आवश्यकता होती है। सामान्य प्रेषण आकार 1500 बाइट्स है। यानी, 64 किलोबाइट के हमारे विशाल को 45 पैकेट (जानकारी के 1240 बाइट्स और आईपी हेडर के 20 बाइट्स) में विभाजित किया जाएगा। फिर, कुछ समय के लिए, वे नेटवर्क एडॉप्टर के काम को पूरी तरह से अवरुद्ध कर देंगे, क्योंकि उन्हें एक साथ और एक ही बार में भेजा जाना चाहिए। परिणामस्वरूप, इससे प्राथमिकता में उछाल आएगा और उदाहरण के लिए, वीओआईपी जैसे पैकेट कतारबद्ध हो जाएंगे।

इस प्रकार, वायरगार्ड जिस उच्च थ्रूपुट का साहसपूर्वक दावा करता है वह अन्य अनुप्रयोगों की नेटवर्किंग को धीमा करने की कीमत पर हासिल किया जाता है। और वायरगार्ड टीम पहले से ही मौजूद है इस बात की पुष्टि यह मेरा निष्कर्ष है.

लेकिन चलिए आगे बढ़ते हैं.

तकनीकी दस्तावेज़ में बेंचमार्क के अनुसार, कनेक्शन 1011 एमबीपीएस का थ्रूपुट दिखाता है।

प्रभावशाली।

यह इस तथ्य के कारण विशेष रूप से प्रभावशाली है कि एकल गीगाबिट ईथरनेट कनेक्शन का अधिकतम सैद्धांतिक थ्रूपुट 966 एमबीपीएस है जिसमें 1500 बाइट्स का पैकेट आकार होता है जिसमें आईपी हेडर के लिए 20 बाइट्स, यूडीपी हेडर के लिए 8 बाइट्स और हेडर के लिए 16 बाइट्स होते हैं। वायरगार्ड ही. एनकैप्सुलेटेड पैकेट में एक और आईपी हेडर है और 20 बाइट्स के लिए टीसीपी में एक और है। तो यह अतिरिक्त बैंडविड्थ कहाँ से आया?

विशाल फ्रेम और जीएसओ के लाभों के बारे में हमने ऊपर बात की, 9000 बाइट्स के फ्रेम आकार के लिए सैद्धांतिक अधिकतम 1014 एमबीपीएस होगा। आमतौर पर ऐसा थ्रूपुट वास्तविकता में अप्राप्य होता है, क्योंकि यह बड़ी कठिनाइयों से जुड़ा होता है। इस प्रकार, मैं केवल यह मान सकता हूं कि परीक्षण 64 एमबीपीएस की सैद्धांतिक अधिकतम सीमा के साथ 1023 किलोबाइट के और भी मोटे बड़े फ्रेम का उपयोग करके किया गया था, जो केवल कुछ नेटवर्क एडेप्टर द्वारा समर्थित है। लेकिन यह वास्तविक परिस्थितियों में बिल्कुल अनुपयुक्त है, या इसका उपयोग केवल दो सीधे जुड़े स्टेशनों के बीच, विशेष रूप से परीक्षण बेंच के भीतर ही किया जा सकता है।

लेकिन चूंकि वीपीएन सुरंग को इंटरनेट कनेक्शन का उपयोग करके दो होस्टों के बीच अग्रेषित किया जाता है जो जंबो फ्रेम का बिल्कुल भी समर्थन नहीं करता है, बेंच पर प्राप्त परिणाम को बेंचमार्क के रूप में नहीं लिया जा सकता है। यह केवल एक अवास्तविक प्रयोगशाला उपलब्धि है जो वास्तविक युद्ध स्थितियों में असंभव और अनुपयुक्त है।

डेटा सेंटर में बैठकर भी मैं 9000 बाइट्स से बड़े फ्रेम ट्रांसफर नहीं कर सका।

वास्तविक जीवन में प्रयोज्यता की कसौटी का बिल्कुल उल्लंघन किया गया है और, जैसा कि मुझे लगता है, "माप" के लेखक ने स्पष्ट कारणों से खुद को गंभीर रूप से बदनाम किया है।

आशा की आखिरी किरण

वायरगार्ड वेबसाइट कंटेनरों के बारे में बहुत कुछ बताती है और यह स्पष्ट हो जाता है कि इसका वास्तव में उद्देश्य क्या है।

एक सरल और तेज़ वीपीएन जिसके लिए किसी कॉन्फ़िगरेशन की आवश्यकता नहीं होती है और इसे अमेज़ॅन के क्लाउड जैसे बड़े ऑर्केस्ट्रेशन टूल के साथ तैनात और कॉन्फ़िगर किया जा सकता है। विशेष रूप से, अमेज़ॅन नवीनतम हार्डवेयर सुविधाओं का उपयोग करता है जिनका मैंने पहले उल्लेख किया था, जैसे कि AVX512। ऐसा कार्य को गति देने और x86 या किसी अन्य आर्किटेक्चर से बंधे न रहने के लिए किया जाता है।

वे 9000 बाइट्स से बड़े थ्रूपुट और पैकेट को अनुकूलित करते हैं - ये कंटेनरों के लिए एक-दूसरे के साथ संचार करने, या बैकअप संचालन, स्नैपशॉट बनाने या इन समान कंटेनरों को तैनात करने के लिए विशाल एन्कैप्सुलेटेड फ्रेम होंगे। यहां तक ​​कि मेरे द्वारा वर्णित परिदृश्य के मामले में डायनेमिक आईपी पते भी किसी भी तरह से वायरगार्ड के संचालन को प्रभावित नहीं करेंगे।

बहुत बढ़िया। शानदार कार्यान्वयन और बहुत पतला, लगभग संदर्भ प्रोटोकॉल।

लेकिन यह डेटा सेंटर के बाहर की दुनिया में फिट नहीं बैठता है जिसे आप पूरी तरह से नियंत्रित करते हैं। यदि आप जोखिम लेते हैं और वायरगार्ड का उपयोग शुरू करते हैं, तो आपको एन्क्रिप्शन प्रोटोकॉल के डिजाइन और कार्यान्वयन में लगातार समझौता करना होगा।

उत्पादन

मेरे लिए यह निष्कर्ष निकालना आसान है कि वायरगार्ड अभी तैयार नहीं है।

इसकी कल्पना मौजूदा समाधानों के साथ कई समस्याओं के हल्के और त्वरित समाधान के रूप में की गई थी। दुर्भाग्य से, इन समाधानों के लिए, उन्होंने कई सुविधाओं का त्याग कर दिया जो अधिकांश उपयोगकर्ताओं के लिए प्रासंगिक होंगी। इसीलिए यह IPsec या OpenVPN की जगह नहीं ले सकता।

वायरगार्ड को प्रतिस्पर्धी बनने के लिए, उसे कम से कम एक आईपी एड्रेस सेटिंग और एक रूटिंग और डीएनएस कॉन्फ़िगरेशन जोड़ने की आवश्यकता है। जाहिर है, एन्क्रिप्टेड चैनल इसी के लिए हैं।

सुरक्षा मेरी सर्वोच्च प्राथमिकता है, और अभी मेरे पास यह मानने का कोई कारण नहीं है कि IKE या TLS किसी तरह से समझौता किया गया है या टूटा हुआ है। इन दोनों में आधुनिक एन्क्रिप्शन समर्थित है, और ये दशकों के संचालन से सिद्ध हो चुके हैं। सिर्फ इसलिए कि कुछ नया है इसका मतलब यह नहीं है कि यह बेहतर है।

जब आप उन तृतीय पक्षों के साथ संचार करते हैं जिनके स्टेशनों पर आपका नियंत्रण नहीं है, तो अंतरसंचालनीयता अत्यंत महत्वपूर्ण है। IPsec वास्तविक मानक है और लगभग हर जगह समर्थित है। और वह काम करता है. और इससे कोई फर्क नहीं पड़ता कि यह कैसा दिखता है, सिद्धांत रूप में, भविष्य में वायरगार्ड स्वयं के विभिन्न संस्करणों के साथ भी संगत नहीं हो सकता है।

कोई भी क्रिप्टोग्राफ़िक सुरक्षा देर-सबेर टूट जाती है और तदनुसार, उसे बदला या अद्यतन किया जाना चाहिए।

इन सभी तथ्यों को नकारना और आँख बंद करके अपने iPhone को अपने होम वर्कस्टेशन से कनेक्ट करने के लिए वायरगार्ड का उपयोग करना चाहते हैं, यह रेत में अपना सिर फंसाने का एक मास्टर क्लास है।

स्रोत: www.habr.com