क्या वायरगार्ड भविष्य का महान वीपीएन है?

समय आ गया है जब वीपीएन अब दाढ़ी वाले सिस्टम प्रशासकों के लिए कोई विदेशी उपकरण नहीं रह गया है। यूजर्स के अलग-अलग काम होते हैं, लेकिन सच तो यह है कि हर किसी को वीपीएन की जरूरत होती है।

वर्तमान वीपीएन समाधानों के साथ समस्या यह है कि उन्हें सही ढंग से कॉन्फ़िगर करना मुश्किल है, बनाए रखना महंगा है, और संदिग्ध गुणवत्ता के विरासत कोड से भरे हुए हैं।

कई साल पहले, कनाडाई सूचना सुरक्षा विशेषज्ञ जेसन ए डोनेनफेल्ड ने फैसला किया कि उनके लिए यह काफी हो गया है और उन्होंने इस पर काम करना शुरू कर दिया WireGuard. वायरगार्ड को अब लिनक्स कर्नेल में शामिल करने के लिए तैयार किया जा रहा है और इसे प्रशंसा भी मिली है लिनुस टॉर्वाल्ड्स और अमेरिकी सीनेट.

अन्य वीपीएन समाधानों की तुलना में वायरगार्ड के दावा किए गए लाभ:

• प्रयोग करने में आसान।
• आधुनिक क्रिप्टोग्राफी का उपयोग करता है: नॉइज़ प्रोटोकॉल फ्रेमवर्क, कर्व25519, चाचा20, पॉली1305, BLAKE2, SipHash24, HKDF, आदि।
• संक्षिप्त, पठनीय कोड, कमजोरियों की जांच करना आसान।
• उच्च प्रदर्शन।
• स्पष्ट और विस्तृत विनिर्देश.

क्या चांदी की गोली मिली है? क्या अब OpenVPN और IPSec को ख़त्म करने का समय आ गया है? मैंने इससे निपटने का फैसला किया और उसी समय मैंने ऐसा किया व्यक्तिगत वीपीएन सर्वर को स्वचालित रूप से स्थापित करने के लिए स्क्रिप्ट.

काम के सिद्धांत

संचालन सिद्धांतों को कुछ इस प्रकार वर्णित किया जा सकता है:

• एक वायरगार्ड इंटरफ़ेस बनाया जाता है और उसे एक निजी कुंजी और आईपी पता सौंपा जाता है। अन्य साथियों की सेटिंग्स लोड की जाती हैं: उनकी सार्वजनिक कुंजी, आईपी पते, आदि।
• वायरगार्ड इंटरफ़ेस पर आने वाले सभी आईपी पैकेट यूडीपी में समाहित हैं सुरक्षित रूप से वितरित किया गया अन्य साथी.
• क्लाइंट सेटिंग्स में सर्वर का सार्वजनिक आईपी पता निर्दिष्ट करते हैं। जब ग्राहकों से सही ढंग से प्रमाणित डेटा प्राप्त होता है तो सर्वर स्वचालित रूप से उनके बाहरी पते को पहचान लेता है।
• सर्वर अपने काम को बाधित किए बिना सार्वजनिक आईपी पते को बदल सकता है। साथ ही, यह कनेक्टेड क्लाइंट्स को अलर्ट भेजेगा और वे तुरंत अपना कॉन्फ़िगरेशन अपडेट कर देंगे।
• रूटिंग की अवधारणा का प्रयोग किया जाता है क्रिप्टोकी रूटिंग. वायरगार्ड सहकर्मी की सार्वजनिक कुंजी के आधार पर पैकेट स्वीकार करता है और भेजता है। जब सर्वर सही ढंग से प्रमाणित पैकेट को डिक्रिप्ट करता है, तो उसके स्रोत फ़ील्ड की जाँच की जाती है। यदि यह कॉन्फ़िगरेशन से मेल खाता है allowed-ips प्रमाणित सहकर्मी, पैकेट वायरगार्ड इंटरफ़ेस द्वारा प्राप्त किया जाता है। एक आउटगोइंग पैकेट भेजते समय, संबंधित प्रक्रिया होती है: पैकेट का डीएसटी फ़ील्ड लिया जाता है और, उसके आधार पर, संबंधित पीयर का चयन किया जाता है, पैकेट को उसकी कुंजी के साथ हस्ताक्षरित किया जाता है, पीयर की कुंजी के साथ एन्क्रिप्ट किया जाता है और रिमोट एंडपॉइंट पर भेजा जाता है .

वायरगार्ड के सभी मुख्य तर्क में कोड की 4 हजार से कम लाइनें लगती हैं, जबकि ओपनवीपीएन और आईपीएसईसी में सैकड़ों हजारों लाइनें होती हैं। आधुनिक क्रिप्टोग्राफ़िक एल्गोरिदम का समर्थन करने के लिए, लिनक्स कर्नेल में एक नया क्रिप्टोग्राफ़िक एपीआई शामिल करने का प्रस्ताव है जस्ता. इस समय इस बात पर चर्चा चल रही है कि क्या यह एक अच्छा विचार है।

निष्पादन

अधिकतम प्रदर्शन लाभ (ओपनवीपीएन और आईपीएसईसी की तुलना में) लिनक्स सिस्टम पर ध्यान देने योग्य होगा, क्योंकि वायरगार्ड को वहां कर्नेल मॉड्यूल के रूप में लागू किया गया है। इसके अलावा, macOS, Android, iOS, FreeBSD और OpenBSD समर्थित हैं, लेकिन उनमें वायरगार्ड सभी आगामी प्रदर्शन परिणामों के साथ यूजरस्पेस में चलता है। निकट भविष्य में विंडोज़ समर्थन जोड़े जाने की उम्मीद है।

बेंचमार्क परिणाम के साथ आधिकारिक साइट:

मेरा उपयोग अनुभव

मैं वीपीएन विशेषज्ञ नहीं हूं. मैंने एक बार OpenVPN को मैन्युअल रूप से सेट किया था और यह बहुत कठिन था, और मैंने IPSec का प्रयास भी नहीं किया। निर्णय लेने के लिए बहुत सारे निर्णय लेने होते हैं, अपने पैरों पर कुल्हाड़ी मारना बहुत आसान है। इसलिए, मैंने सर्वर को कॉन्फ़िगर करने के लिए हमेशा तैयार स्क्रिप्ट का उपयोग किया।

इसलिए, मेरे दृष्टिकोण से, वायरगार्ड आम तौर पर उपयोगकर्ता के लिए आदर्श है। सभी निम्न-स्तरीय निर्णय विनिर्देश में लिए जाते हैं, इसलिए एक विशिष्ट वीपीएन बुनियादी ढांचे को तैयार करने की प्रक्रिया में केवल कुछ मिनट लगते हैं। कॉन्फ़िगरेशन में धोखा देना लगभग असंभव है.

स्थापना प्रक्रिया विस्तार से वर्णन किया गया है आधिकारिक वेबसाइट पर, मैं उत्कृष्ट को अलग से नोट करना चाहूंगा ओपनडब्लूआरटी समर्थन.

एन्क्रिप्शन कुंजियाँ उपयोगिता द्वारा उत्पन्न की जाती हैं wg:

SERVER_PRIVKEY=$( wg genkey )
SERVER_PUBKEY=$( echo $SERVER_PRIVKEY | wg pubkey )
CLIENT_PRIVKEY=$( wg genkey )
CLIENT_PUBKEY=$( echo $CLIENT_PRIVKEY | wg pubkey )

इसके बाद, आपको एक सर्वर कॉन्फ़िगरेशन बनाना होगा /etc/wireguard/wg0.conf निम्नलिखित सामग्री के साथ:

[Interface]
Address = 10.9.0.1/24
PrivateKey = $SERVER_PRIVKEY
[Peer]
PublicKey = $CLIENT_PUBKEY
AllowedIPs = 10.9.0.2/32

और एक स्क्रिप्ट के साथ सुरंग को ऊपर उठाएं wg-quick:

sudo wg-quick up /etc/wireguard/wg0.conf

सिस्टमडी वाले सिस्टम पर आप इसके बजाय इसका उपयोग कर सकते हैं sudo systemctl start [email protected].

क्लाइंट मशीन पर, एक कॉन्फ़िगरेशन बनाएं /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = $CLIENT_PRIVKEY
Address = 10.9.0.2/24
[Peer]
PublicKey = $SERVER_PUBKEY
AllowedIPs = 0.0.0.0/0
Endpoint = 1.2.3.4:51820 # Внешний IP сервера
PersistentKeepalive = 25 

और सुरंग को इसी तरह ऊपर उठाएं:

sudo wg-quick up /etc/wireguard/wg0.conf

जो कुछ बचा है वह सर्वर पर NAT को कॉन्फ़िगर करना है ताकि ग्राहक इंटरनेट तक पहुंच सकें, और आपका काम हो गया!

उपयोग में आसानी और कोड आधार की सघनता मुख्य वितरण कार्यक्षमता को समाप्त करके हासिल की गई थी। कोई जटिल प्रमाणपत्र प्रणाली नहीं है और यह सब कॉर्पोरेट आतंक है; छोटी एन्क्रिप्शन कुंजियाँ SSH कुंजियों की तरह वितरित की जाती हैं। लेकिन इससे एक समस्या उत्पन्न होती है: वायरगार्ड को कुछ मौजूदा नेटवर्क पर लागू करना इतना आसान नहीं होगा।

नुकसान के बीच, यह ध्यान देने योग्य है कि वायरगार्ड HTTP प्रॉक्सी के माध्यम से काम नहीं करेगा, क्योंकि केवल यूडीपी प्रोटोकॉल ट्रांसपोर्ट के रूप में उपलब्ध है। सवाल उठता है: क्या प्रोटोकॉल को अस्पष्ट करना संभव होगा? बेशक, यह वीपीएन का सीधा काम नहीं है, लेकिन ओपनवीपीएन के लिए, उदाहरण के लिए, खुद को HTTPS के रूप में छिपाने के तरीके हैं, जो अधिनायकवादी देशों के निवासियों को पूरी तरह से इंटरनेट का उपयोग करने में मदद करता है।

निष्कर्ष

संक्षेप में, यह एक बहुत ही रोचक और आशाजनक परियोजना है, आप इसे पहले से ही व्यक्तिगत सर्वर पर उपयोग कर सकते हैं। लाभ क्या है? लिनक्स सिस्टम पर उच्च प्रदर्शन, सेटअप और समर्थन में आसानी, कॉम्पैक्ट और पठनीय कोड आधार। हालाँकि, एक जटिल बुनियादी ढांचे को वायरगार्ड में स्थानांतरित करने में जल्दबाजी करना जल्दबाजी होगी; लिनक्स कर्नेल में इसके शामिल होने की प्रतीक्षा करना उचित है।

अपना (और आपका) समय बचाने के लिए, मैंने विकास किया वायरगार्ड स्वचालित इंस्टॉलर. इसकी मदद से आप अपने और अपने दोस्तों के लिए बिना इसके बारे में कुछ भी समझे एक पर्सनल वीपीएन सेट कर सकते हैं।

स्रोत: www.habr.com