რატომ არ უნდა გამოიყენოთ WireGuard

WireGuard-მა ბოლო დროს დიდი ყურადღება მიიპყრო, სინამდვილეში ის არის ახალი ვარსკვლავი VPN-ებს შორის. მაგრამ არის ის ისეთი კარგი, როგორც ჩანს? მსურს განვიხილო რამდენიმე დაკვირვება და გადავხედო WireGuard-ის იმპლემენტაციას, რათა განვმარტო, რატომ არ არის გამოსავალი IPsec ან OpenVPN ჩანაცვლება.

ამ სტატიაში მსურს გავამყარო ზოგიერთი მითი [WireGuard-ის შესახებ]. დიახ, წაკითხვას დიდი დრო დასჭირდება, ასე რომ, თუ თქვენ თვითონ არ მოგიმზადებიათ ფინჯანი ჩაი ან ყავა, მაშინ დროა ამის გაკეთება. ასევე მინდა მადლობა გადავუხადო პეტრეს ჩემი არეული აზრების გამოსწორებისთვის.

მე არ ვაპირებ ჩემს თავს WireGuard-ის დეველოპერების დისკრედიტაციას, მათი ძალისხმევის ან იდეების გაუფასურებას. მათი პროდუქტი მუშაობს, მაგრამ პირადად მე ვფიქრობ, რომ ის წარმოდგენილია სრულიად განსხვავებულად იმისგან, რაც სინამდვილეში არის - წარმოდგენილია IPsec-ისა და OpenVPN-ის შემცვლელად, რაც სინამდვილეში ახლა უბრალოდ არ არსებობს.

როგორც შენიშვნა, მინდა დავამატო, რომ WireGuard-ის ასეთ პოზიციონირებაზე პასუხისმგებლობა ეკისრება მედიას, რომელმაც მასზე ისაუბრა, და არა თავად პროექტს ან მის შემქმნელებს.

ბოლო დროს Linux-ის ბირთვის შესახებ ბევრი კარგი სიახლე არ ყოფილა. ასე რომ, ჩვენ გვითხრეს პროცესორის ამაზრზენი დაუცველობის შესახებ, რომლებიც გაათანაბრეს პროგრამული უზრუნველყოფით, და ლინუს ტორვალდსი ამაზე საუბრობდა ძალიან უხეშად და მოსაწყენად, დეველოპერის უტილიტარულ ენაზე. გრაფიკი ან ნულოვანი დონის ქსელის დასტა ასევე არ არის ძალიან ნათელი თემები პრიალა ჟურნალებისთვის. და აქ მოდის WireGuard.

ქაღალდზე ეს ყველაფერი მშვენივრად ჟღერს: ახალი საინტერესო ტექნოლოგია.

მაგრამ მოდით ცოტა უფრო მჭიდროდ შევხედოთ მას.

WireGuard თეთრი ქაღალდი

ეს სტატია ეფუძნება ოფიციალური WireGuard დოკუმენტაციაჯეისონ დონენფელდის მიერ დაწერილი. იქ ის განმარტავს [WireGuard]-ის კონცეფციას, მიზანს და ტექნიკურ განხორციელებას Linux-ის ბირთვში.

პირველ წინადადებაში ნათქვამია:

WireGuard […] მიზნად ისახავს შეცვალოს როგორც IPsec უმეტეს შემთხვევაში, ასევე სხვა პოპულარული მომხმარებლის სივრცისა და/ან TLS-ზე დაფუძნებული გადაწყვეტილებები, როგორიცაა OpenVPN და ამავე დროს იყოს უფრო უსაფრთხო, ეფექტური და უფრო ადვილი გამოსაყენებელი [ინსტრუმენტი].

რა თქმა უნდა, ყველა ახალი ტექნოლოგიების მთავარი უპირატესობა მათია სიმარტივე [წინამორბედებთან შედარებით]. მაგრამ VPN ასევე უნდა იყოს ეფექტური და უსაფრთხო.

მაშ, რა არის შემდეგი?

თუ ამბობთ, რომ ეს არ არის ის, რაც გჭირდებათ [VPN–დან], მაშინ შეგიძლიათ კითხვა დაასრულოთ აქ. თუმცა, აღვნიშნავ, რომ ასეთი ამოცანები დაწესებულია ნებისმიერი სხვა გვირაბის ტექნოლოგიაზე.

ზემოაღნიშნული ციტატებიდან ყველაზე საინტერესო მდგომარეობს სიტყვებში „უმეტეს შემთხვევაში“, რომელიც, რა თქმა უნდა, პრესამ უგულებელყო. და აი, იქ ვართ, სადაც ამ დაუდევრობით შექმნილი ქაოსის გამო აღმოვჩნდით - ამ სტატიაში.

ჩაანაცვლებს თუ არა WireGuard ჩემს [IPsec] საიტიდან საიტზე VPN?

არა. უბრალოდ არ არსებობს შანსი, რომ მსხვილმა გამყიდველებმა, როგორიცაა Cisco, Juniper და სხვები, შეიძინონ WireGuard თავიანთი პროდუქციისთვის. ისინი არ "ახტებიან გამვლელ მატარებლებზე" მოძრაობისას, თუ ამის დიდი საჭიროება არ არის. მოგვიანებით, მე განვიხილავ ზოგიერთ მიზეზს, რის გამოც ისინი, ალბათ, ვერ შეძლებენ თავიანთი WireGuard პროდუქტების ბორტზე, მაშინაც კი, თუ სურდათ.

გადაიყვანს თუ არა WireGuard ჩემს RoadWarrior-ს ჩემი ლეპტოპიდან მონაცემთა ცენტრში?

არა. ამჟამად WireGuard-ს არ აქვს დანერგილი მნიშვნელოვანი ფუნქციების დიდი რაოდენობა, რომ შეძლოს მსგავსი რამის გაკეთება. მაგალითად, მას არ შეუძლია გამოიყენოს დინამიური IP მისამართები გვირაბის სერვერის მხარეს და ეს მარტო არღვევს პროდუქტის ასეთი გამოყენების მთელ სცენარს.

IPFire ხშირად გამოიყენება იაფი ინტერნეტ ბმულებისთვის, როგორიცაა DSL ან საკაბელო კავშირები. ეს აზრი აქვს მცირე ან საშუალო ბიზნესს, რომელსაც არ სჭირდება სწრაფი ბოჭკოვანი. [შენიშვნა თარჯიმნისგან: არ დაგავიწყდეთ, რომ კომუნიკაციის თვალსაზრისით, რუსეთი და დსთ-ს ზოგიერთი ქვეყანა ბევრად უსწრებს ევროპასა და შეერთებულ შტატებს, რადგან ჩვენ დავიწყეთ ჩვენი ქსელების მშენებლობა გაცილებით გვიან და Ethernet-ისა და ოპტიკურ-ბოჭკოვანი ქსელების გამოჩენით. სტანდარტული, ჩვენთვის უფრო ადვილი იყო აღდგენა. ევროკავშირის ან აშშ-ის იმავე ქვეყნებში, xDSL ფართოზოლოვანი წვდომა 3-5 მბიტი/წმ სიჩქარით კვლავ ზოგადი ნორმაა და ოპტიკურ-ბოჭკოვანი კავშირი ჩვენი სტანდარტების მიხედვით არარეალური ფული ღირს. ამიტომ, სტატიის ავტორი საუბრობს DSL ან საკაბელო კავშირზე, როგორც ნორმაზე, და არა ძველ დროზე.] თუმცა, DSL, საკაბელო, LTE (და უკაბელო წვდომის სხვა მეთოდები) აქვს დინამიური IP მისამართები. რა თქმა უნდა, ზოგჯერ ისინი ხშირად არ იცვლებიან, მაგრამ იცვლებიან.

არის ქვეპროექტი ე.წ "wg-dynamic", რომელიც ამ ნაკლოვანების დასაძლევად ამატებს მომხმარებლის სივრცის დემონს. ზემოთ აღწერილი მომხმარებლის სცენარის უზარმაზარი პრობლემაა დინამიური IPv6 მისამართის გამწვავება.

დისტრიბუტორის თვალსაზრისით, ეს ყველაფერი არც ისე კარგად გამოიყურება. დიზაინის ერთ-ერთი მიზანი იყო პროტოკოლის მარტივი და სუფთა შენარჩუნება.

სამწუხაროდ, ეს ყველაფერი რეალურად გახდა ძალიან მარტივი და პრიმიტიული, ასე რომ, ჩვენ უნდა გამოვიყენოთ დამატებითი პროგრამული უზრუნველყოფა, რათა მთელი ეს დიზაინი რეალურ გამოყენებაში იყოს სიცოცხლისუნარიანი.

WireGuard ასე მარტივი გამოსაყენებელია?

Ჯერ არა. მე არ ვამბობ, რომ WireGuard არასოდეს იქნება კარგი ალტერნატივა ორ წერტილს შორის გვირაბის მოსაწყობად, მაგრამ ახლა ეს მხოლოდ პროდუქტის ალფა ვერსიაა, რომელიც უნდა იყოს.

მაგრამ შემდეგ რას აკეთებს ის სინამდვილეში? IPsec მართლაც ასე უფრო რთული შენარჩუნება?

Აშკარად არა. IPsec გამყიდველმა მოიფიქრა ეს და აგზავნის მათ პროდუქტს ინტერფეისთან ერთად, როგორიცაა IPFire.

IPsec-ზე VPN გვირაბის დასაყენებლად, დაგჭირდებათ მონაცემების ხუთი ნაკრები, რომლებიც უნდა შეიყვანოთ კონფიგურაციაში: თქვენი საკუთარი საჯარო IP მისამართი, მიმღები მხარის საჯარო IP მისამართი, ქვექსელები, რომელთა მეშვეობითაც გსურთ გახადოთ საჯარო. ეს VPN კავშირი და წინასწარ გაზიარებული გასაღები. ამრიგად, VPN იქმნება წუთებში და თავსებადია ნებისმიერ გამყიდველთან.

სამწუხაროდ, ამ ამბავს რამდენიმე გამონაკლისი აქვს. ვინც ცდილობდა IPsec-ის გვირაბის გადატანას OpenBSD აპარატზე, იცის რაზე ვსაუბრობ. კიდევ რამდენიმე მტკივნეული მაგალითია, მაგრამ სინამდვილეში, IPsec-ის გამოყენების კიდევ ბევრი, ბევრი კარგი პრაქტიკაა.

პროტოკოლის სირთულის შესახებ

საბოლოო მომხმარებელი არ უნდა ინერვიულოს პროტოკოლის სირთულეზე.

ჩვენ რომ ვცხოვრობდეთ სამყაროში, სადაც ეს მომხმარებლის რეალური საზრუნავი იყო, მაშინ ჩვენ დიდი ხნის წინ მოვიშორებდით SIP, H.323, FTP და ათ წელზე მეტი ხნის წინ შექმნილ სხვა პროტოკოლებს, რომლებიც კარგად არ მუშაობს NAT-თან.

არსებობს მიზეზები, რის გამოც IPsec უფრო რთულია ვიდრე WireGuard: ის ბევრ რამეს აკეთებს. მაგალითად, მომხმარებლის ავტორიზაცია შესვლის / პაროლის ან SIM ბარათის გამოყენებით EAP. მას აქვს ახლის დამატების გაფართოებული შესაძლებლობა კრიპტოგრაფიული პრიმიტივები.

და WireGuard-ს ეს არ აქვს.

და ეს ნიშნავს, რომ WireGuard რაღაც მომენტში გატყდება, რადგან ერთ-ერთი კრიპტოგრაფიული პრიმიტივი დასუსტდება ან მთლიანად დაზიანდება. ამის შესახებ ტექნიკური დოკუმენტაციის ავტორი ამბობს:

აღსანიშნავია, რომ WireGuard არის კრიპტოგრაფიული მოსაზრება. მას განზრახ აკლია შიფრებისა და პროტოკოლების მოქნილობა. თუ ძირეულ პრიმიტივებში სერიოზული ხვრელები აღმოჩნდება, ყველა საბოლოო წერტილი უნდა განახლდეს. როგორც ხედავთ SLL/TLS დაუცველობის მიმდინარე ნაკადიდან, დაშიფვრის მოქნილობა ახლა საოცრად გაიზარდა.

ბოლო წინადადება აბსოლუტურად სწორია.

კონსენსუსის მიღწევა იმაზე, თუ რა დაშიფვრა უნდა გამოიყენოს, ქმნის პროტოკოლებს, როგორიცაა IKE და TLS მეტი კომპლექსი. ძალიან რთული? დიახ, დაუცველობა საკმაოდ ხშირია TLS/SSL-ში და მათ ალტერნატივა არ აქვს.

რეალური პრობლემების იგნორირებაზე

წარმოიდგინეთ, რომ თქვენ გაქვთ VPN სერვერი 200 საბრძოლო კლიენტით სადმე მთელ მსოფლიოში. ეს საკმაოდ სტანდარტული გამოყენების შემთხვევაა. თუ თქვენ უნდა შეცვალოთ დაშიფვრა, თქვენ უნდა მიაწოდოთ განახლება WireGuard-ის ყველა ასლს ამ ლეპტოპებზე, სმარტფონებზე და ა.შ. Ერთდროულად მიწოდება. ფაქტიურად შეუძლებელია. ადმინისტრატორებს, რომლებიც ცდილობენ ამის გაკეთებას, თვეები დასჭირდებათ საჭირო კონფიგურაციების განსათავსებლად და ფაქტიურად საშუალო ზომის კომპანიას დასჭირდება წლები ასეთი მოვლენის განსახორციელებლად.

IPsec და OpenVPN გთავაზობთ შიფრული მოლაპარაკების ფუნქციას. ამიტომ, გარკვეული პერიოდის შემდეგ, რის შემდეგაც ჩართავთ ახალ დაშიფვრას, ძველიც იმუშავებს. ეს საშუალებას მისცემს მიმდინარე მომხმარებელს განახლდეს ახალ ვერსიაზე. განახლების გაშვების შემდეგ, თქვენ უბრალოდ გამორთავთ დაუცველ დაშიფვრას. Და სულ ეს არის! მზადაა! შენ შესანიშნავი ხარ! კლიენტები ვერც კი შეამჩნევენ.

ეს რეალურად ძალიან გავრცელებული შემთხვევაა დიდი განლაგებისთვის და OpenVPN-საც კი აქვს გარკვეული სირთულე ამაში. ჩამორჩენილი თავსებადობა მნიშვნელოვანია და მიუხედავად იმისა, რომ თქვენ იყენებთ სუსტ დაშიფვრას, ბევრისთვის ეს არ არის ბიზნესის დახურვის მიზეზი. იმიტომ, რომ ეს ასობით მომხმარებლის მუშაობას პარალიზებს სამუშაოს შეუძლებლობის გამო.

WireGuard-ის გუნდმა გაამარტივა მათი პროტოკოლი, მაგრამ სრულიად გამოუსადეგარი ადამიანებისთვის, რომლებსაც არ აქვთ მუდმივი კონტროლი ორივე თანატოლზე თავიანთ გვირაბში. ჩემი გამოცდილებით, ეს ყველაზე გავრცელებული სცენარია.

კრიპტოგრაფია!

მაგრამ რა არის ეს საინტერესო ახალი დაშიფვრა, რომელსაც იყენებს WireGuard?

WireGuard იყენებს Curve25519 გასაღების გაცვლისთვის, ChaCha20 დაშიფვრისთვის და Poly1305 მონაცემთა ავთენტიფიკაციისთვის. ის ასევე მუშაობს SipHash-თან ჰეშის გასაღებებისთვის და BLAKE2-ით ჰეშირებისთვის.

ChaCha20-Poly1305 სტანდარტიზებულია IPsec და OpenVPN-სთვის (TLS-ზე მეტი).

აშკარაა, რომ დანიელ ბერნშტეინის განვითარება ძალიან ხშირად გამოიყენება. BLAKE2 არის BLAKE-ის მემკვიდრე, SHA-3 ფინალისტი, რომელმაც ვერ მოიგო SHA-2-თან მსგავსების გამო. თუ SHA-2 გატეხილი იქნებოდა, დიდი შანსი იყო, რომ BLAKE-იც დათრგუნულიყო.

IPsec და OpenVPN არ სჭირდებათ SipHash მათი დიზაინის გამო. ასე რომ, ერთადერთი, რისი გამოყენებაც ამჟამად შეუძლებელია მათთან არის BLAKE2, და ეს მხოლოდ მანამ, სანამ ის სტანდარტიზდება. ეს არ არის დიდი ნაკლი, რადგან VPN-ები იყენებენ HMAC-ს მთლიანობის შესაქმნელად, რაც ითვლება ძლიერ გადაწყვეტად MD5-თან ერთადაც კი.

ასე რომ, მივედი დასკვნამდე, რომ კრიპტოგრაფიული ხელსაწყოების თითქმის იგივე ნაკრები გამოიყენება ყველა VPN-ში. აქედან გამომდინარე, WireGuard არ არის მეტნაკლებად უსაფრთხო ვიდრე ნებისმიერი სხვა მიმდინარე პროდუქტი, როდესაც საქმე ეხება დაშიფვრას ან გადაცემული მონაცემების მთლიანობას.

მაგრამ ეს არ არის ყველაზე მნიშვნელოვანი, რაზეც ღირს ყურადღების მიქცევა პროექტის ოფიციალური დოკუმენტაციის მიხედვით. ყოველივე ამის შემდეგ, მთავარია სიჩქარე.

არის WireGuard უფრო სწრაფი ვიდრე სხვა VPN გადაწყვეტილებები?

მოკლედ: არა, უფრო სწრაფად.

ChaCha20 არის ნაკადის შიფრი, რომლის დანერგვა უფრო ადვილია პროგრამულ უზრუნველყოფაში. ის შიფრავს თითო ბიტით. დაბლოკოს პროტოკოლები, როგორიცაა AES, დაშიფვრავს ბლოკს ერთდროულად 128 ბიტით. გაცილებით მეტი ტრანზისტორია საჭირო ტექნიკის მხარდაჭერის განსახორციელებლად, ამიტომ უფრო დიდი პროცესორები მოყვება AES-NI, ინსტრუქციების ნაკრების გაფართოება, რომელიც ასრულებს დაშიფვრის პროცესის ზოგიერთ დავალებას მის დასაჩქარებლად.

მოსალოდნელი იყო, რომ AES-NI ვერასოდეს მოხვდებოდა სმარტფონებში [მაგრამ ასე მოხდა - დაახლ. თითო]. ამისათვის ChaCha20 შეიქმნა, როგორც მსუბუქი, ბატარეის დაზოგვის ალტერნატივა. ამიტომ, შეიძლება თქვენთვის სიახლე იყოს, რომ ყველა სმარტფონს, რომლის შეძენაც დღეს შეგიძლიათ, აქვს AES აჩქარება და მუშაობს უფრო სწრაფად და დაბალი ენერგიის მოხმარებით ამ დაშიფვრით, ვიდრე ChaCha20-ით.

ცხადია, ბოლო რამდენიმე წლის განმავლობაში შეძენილი თითქმის ყველა დესკტოპის/სერვერის პროცესორს აქვს AES-NI.

ამიტომ, მე ველი, რომ AES აჯობებს ChaCha20-ს თითოეულ სცენარში. WireGuard-ის ოფიციალურ დოკუმენტაციაში აღნიშნულია, რომ AVX512-ით ChaCha20-Poly1305 აჯობებს AES-NI-ს, მაგრამ ინსტრუქციების ნაკრების ეს გაფართოება ხელმისაწვდომი იქნება მხოლოდ უფრო დიდ პროცესორებზე, რაც ისევ არ დაეხმარება პატარა და უფრო მობილურ აპარატურას, რომელიც ყოველთვის უფრო სწრაფი იქნება AES-ით. - ნ.ი.

დარწმუნებული არ ვარ, შეიძლებოდა თუ არა ამის გათვალისწინება WireGuard-ის განვითარების დროს, მაგრამ დღეს ის ფაქტი, რომ ის მხოლოდ დაშიფვრაზეა მიმაგრებული, უკვე ნაკლია, რომელიც შეიძლება არც ისე კარგად იმოქმედოს მის მუშაობაზე.

IPsec საშუალებას გაძლევთ თავისუფლად აირჩიოთ რომელი დაშიფვრა არის საუკეთესო თქვენი საქმისთვის. და რა თქმა უნდა, ეს აუცილებელია, თუ, მაგალითად, გსურთ გადაიტანოთ 10 ან მეტი გიგაბაიტი მონაცემები VPN კავშირის საშუალებით.

ინტეგრაციის პრობლემები Linux-ში

მიუხედავად იმისა, რომ WireGuard-მა აირჩია დაშიფვრის თანამედროვე პროტოკოლი, ეს უკვე უამრავ პრობლემას იწვევს. ასე რომ, იმის ნაცვლად, რომ გამოვიყენოთ ის, რაც მხარს უჭერს ბირთვს, WireGuard-ის ინტეგრაცია წლების განმავლობაში გადაიდო Linux-ში ამ პრიმიტივების არარსებობის გამო.

მთლად დარწმუნებული არ ვარ, რა სიტუაციაა სხვა ოპერაციულ სისტემებზე, მაგრამ ის ალბათ დიდად არ განსხვავდება Linux-ისგან.

რას ჰგავს რეალობა?

სამწუხაროდ, ყოველ ჯერზე, როცა კლიენტი მთხოვს მათთვის VPN კავშირის დაყენებას, ვხვდები, რომ ისინი იყენებენ მოძველებულ რწმუნებათა სიგელებს და დაშიფვრას. 3DES MD5-თან ერთად ჯერ კიდევ ჩვეულებრივი პრაქტიკაა, ისევე როგორც AES-256 და SHA1. და მიუხედავად იმისა, რომ ეს უკანასკნელი ოდნავ უკეთესია, ეს არ არის ის, რაც უნდა იქნას გამოყენებული 2020 წელს.

გასაღების გაცვლისთვის ყოველთვის RSA გამოიყენება - ნელი, მაგრამ საკმაოდ უსაფრთხო ინსტრუმენტი.

ჩემი კლიენტები დაკავშირებულია საბაჟო ორგანოებთან და სხვა სამთავრობო ორგანიზაციებთან და დაწესებულებებთან, ასევე დიდ კორპორაციებთან, რომელთა სახელები ცნობილია მთელ მსოფლიოში. ისინი ყველა იყენებენ მოთხოვნის ფორმას, რომელიც შეიქმნა ათწლეულების წინ და SHA-512-ის გამოყენების შესაძლებლობა უბრალოდ არასოდეს დამატებულა. ვერ ვიტყვი, რომ რაღაცნაირად აშკარად აისახება ტექნოლოგიურ პროგრესზე, მაგრამ აშკარად ანელებს კორპორატიულ პროცესს.

მტკივა ამის დანახვა, რადგან IPsec-ს 2005 წლიდან ელიფსური მრუდების მხარდაჭერა აქვს. Curve25519 ასევე უფრო ახალი და ხელმისაწვდომია გამოსაყენებლად. ასევე არსებობს AES-ის ალტერნატივები, როგორიცაა Camellia და ChaCha20, მაგრამ ცხადია, ყველა მათგანს არ უჭერს მხარს ძირითადი მოვაჭრეები, როგორიცაა Cisco და სხვები.

და ხალხი სარგებლობს ამით. არსებობს მრავალი Cisco ნაკრები, არის მრავალი ნაკრები, რომელიც შექმნილია Cisco-სთან მუშაობისთვის. ისინი ბაზრის ლიდერები არიან ამ სეგმენტში და არ არიან დაინტერესებული რაიმე სახის ინოვაციებით.

დიახ, სიტუაცია [კორპორატიულ სეგმენტში] საშინელია, მაგრამ ჩვენ ვერ ვიხილავთ რაიმე ცვლილებას WireGuard-ის გამო. გამყიდველები, ალბათ, ვერასდროს დაინახავენ მუშაობის პრობლემებს ინსტრუმენტებთან და დაშიფვრასთან დაკავშირებით, რომლებსაც უკვე იყენებენ, ვერ ნახავენ რაიმე პრობლემას IKEv2-თან და ამიტომ ისინი არ ეძებენ ალტერნატივებს.

ზოგადად, გიფიქრიათ ოდესმე Cisco-ს მიტოვებაზე?

ნიშნული

ახლა კი გადავიდეთ WireGuard დოკუმენტაციის ეტალონებზე. მიუხედავად იმისა, რომ ეს [დოკუმენტაცია] არ არის სამეცნიერო სტატია, მე მაინც ველოდი, რომ დეველოპერები უფრო მეცნიერულ მიდგომას გამოიყენებდნენ ან მეცნიერულ მიდგომას გამოიყენებდნენ მითითებად. ნებისმიერი კრიტერიუმი გამოუსადეგარია, თუ მათი რეპროდუცირება შეუძლებელია, და კიდევ უფრო უსარგებლოა, როდესაც ისინი მიიღება ლაბორატორიაში.

WireGuard-ის Linux build-ში ის სარგებლობს GSO - Generic Segmentation Offloading-ის გამოყენებით. მისი წყალობით, კლიენტი ქმნის უზარმაზარ პაკეტს 64 კილობაიტით და დაშიფვრავს/გაშიფრავს მას ერთი ნაბიჯით. ამრიგად, კრიპტოგრაფიული ოპერაციების გამოძახებისა და განხორციელების ღირებულება მცირდება. თუ გსურთ მაქსიმალურად გაზარდოთ თქვენი VPN კავშირის გამტარუნარიანობა, ეს კარგი იდეაა.

მაგრამ, როგორც ყოველთვის, რეალობა არც ისე მარტივია. ქსელის ადაპტერზე ასეთი დიდი პაკეტის გაგზავნა მოითხოვს მის დაჭრას ბევრ პატარა პაკეტად. გაგზავნის ნორმალური ზომაა 1500 ბაიტი. ანუ ჩვენი გიგანტი 64 კილობაიტი დაყოფილი იქნება 45 პაკეტად (1240 ბაიტი ინფორმაცია და 20 ბაიტი IP სათაური). შემდეგ, გარკვეული პერიოდის განმავლობაში, ისინი მთლიანად დაბლოკავენ ქსელური ადაპტერის მუშაობას, რადგან ისინი უნდა გაიგზავნონ ერთად და ერთდროულად. შედეგად, ეს გამოიწვევს პრიორიტეტულ ნახტომს და ისეთი პაკეტები, როგორიცაა VoIP, მაგალითად, რიგში დადგება.

ამრიგად, მაღალი გამტარუნარიანობა, რომელსაც WireGuard ასე თამამად ამტკიცებს, მიიღწევა სხვა აპლიკაციების ქსელის შენელების ფასად. და WireGuard-ის გუნდი უკვე არის დაადასტურა ეს არის ჩემი დასკვნა.

მაგრამ მოდით გადავიდეთ.

ტექნიკური დოკუმენტაციის კრიტერიუმების მიხედვით, კავშირი აჩვენებს გამტარუნარიანობას 1011 Mbps.

Შთამბეჭდავი.

ეს განსაკუთრებით შთამბეჭდავია იმის გამო, რომ ერთი გიგაბიტიანი Ethernet კავშირის მაქსიმალური თეორიული გამტარუნარიანობაა 966 Mbps პაკეტის ზომა 1500 ბაიტი გამოკლებული 20 ბაიტი IP სათაურისთვის, 8 ბაიტი UDP სათაურისთვის და 16 ბაიტი სათაურისთვის. თავად WireGuard. არის კიდევ ერთი IP სათაური ინკაფსულირებულ პაკეტში და კიდევ ერთი TCP-ში 20 ბაიტისთვის. მაშ, საიდან გაჩნდა ეს დამატებითი გამტარობა?

უზარმაზარი ჩარჩოებით და GSO-ს უპირატესობებით, რაზეც ზემოთ ვისაუბრეთ, თეორიული მაქსიმუმი 9000 ბაიტიანი კადრის ზომა იქნება 1014 Mbps. როგორც წესი, ასეთი გამტარუნარიანობა რეალურად მიუღწეველია, რადგან დიდ სირთულეებთან არის დაკავშირებული. ამრიგად, შემიძლია მხოლოდ ვივარაუდო, რომ ტესტი ჩატარდა 64 კილობაიტის კიდევ უფრო მსუქანი დიდი ზომის ჩარჩოების გამოყენებით, თეორიული მაქსიმალური სიჩქარით 1023 Mbps, რომელსაც მხარს უჭერს მხოლოდ ზოგიერთი ქსელური ადაპტერი. მაგრამ ეს აბსოლუტურად შეუსაბამოა რეალურ პირობებში, ან შეიძლება გამოყენებულ იქნას მხოლოდ ორ პირდაპირ დაკავშირებულ სადგურს შორის, ექსკლუზიურად სატესტო სკამზე.

მაგრამ ვინაიდან VPN გვირაბი გადამისამართებულია ორ ჰოსტს შორის ინტერნეტ კავშირის გამოყენებით, რომელიც საერთოდ არ უჭერს მხარს ჯუმბო ჩარჩოებს, სკამზე მიღწეული შედეგი არ შეიძლება ჩაითვალოს ეტალონად. ეს უბრალოდ არარეალური ლაბორატორიული მიღწევაა, რომელიც შეუძლებელი და გამოუყენებელია რეალურ საბრძოლო პირობებში.

მონაცემთა ცენტრშიც კი ჯდომისას 9000 ბაიტზე დიდი ფრეიმების გადატანა არ შემეძლო.

რეალურ ცხოვრებაში გამოყენებადობის კრიტერიუმი აბსოლუტურად დარღვეულია და, როგორც ვფიქრობ, განხორციელებულმა „გაზომვის“ ავტორმა აშკარა მიზეზების გამო სერიოზულად მოახდინა საკუთარი თავის დისკრედიტაცია.

იმედის ბოლო ნაპერწკალი

WireGuard-ის ვებსაიტზე ბევრს საუბრობს კონტეინერებზე და ირკვევა, თუ რისთვის არის ის სინამდვილეში განკუთვნილი.

მარტივი და სწრაფი VPN, რომელიც არ საჭიროებს კონფიგურაციას და მისი განლაგება და კონფიგურაცია შესაძლებელია მასიური ორკესტრირების ხელსაწყოებით, როგორიც ამაზონს აქვს ღრუბელში. კონკრეტულად, Amazon იყენებს უახლეს ტექნიკის მახასიათებლებს, რომლებიც ადრე აღვნიშნე, როგორიცაა AVX512. ეს კეთდება იმისთვის, რომ დააჩქაროს მუშაობა და არ იყოს მიბმული x86-ზე ან სხვა არქიტექტურაზე.

ისინი ოპტიმიზაციას უკეთებენ გამტარუნარიანობას და პაკეტებს 9000 ბაიტზე მეტი - ეს იქნება უზარმაზარი ინკაფსულირებული ჩარჩოები კონტეინერებისთვის ერთმანეთთან კომუნიკაციისთვის, ან სარეზერვო ოპერაციებისთვის, სნეპშოტების შესაქმნელად ან იმავე კონტეინერების განლაგებისთვის. დინამიური IP მისამართებიც კი არ იმოქმედებს WireGuard-ის მუშაობაზე ჩემს მიერ აღწერილი სცენარის შემთხვევაში.

Კარგად დაკრული. ბრწყინვალე განხორციელება და ძალიან თხელი, თითქმის საცნობარო პროტოკოლი.

მაგრამ ის უბრალოდ არ ჯდება მონაცემთა ცენტრის მიღმა სამყაროში, რომელსაც თქვენ მთლიანად აკონტროლებთ. თუ რისკავთ და დაიწყებთ WireGuard-ის გამოყენებას, მოგიწევთ მუდმივი კომპრომისების წასვლა დაშიფვრის პროტოკოლის დიზაინსა და განხორციელებაში.

გამოყვანის

ჩემთვის ადვილია დავასკვნათ, რომ WireGuard ჯერ არ არის მზად.

იგი ჩაფიქრებული იყო, როგორც მსუბუქი და სწრაფი გადაწყვეტა მთელი რიგი პრობლემების არსებული გადაწყვეტილებებით. სამწუხაროდ, ამ გადაწყვეტილებების გულისთვის, მან შესწირა მრავალი ფუნქცია, რომელიც აქტუალური იქნება მომხმარებლების უმეტესობისთვის. ამიტომ მას არ შეუძლია ჩაანაცვლოს IPsec ან OpenVPN.

იმისათვის, რომ WireGuard გახდეს კონკურენტუნარიანი, მას სჭირდება მინიმუმ IP მისამართის პარამეტრი და მარშრუტიზაციისა და DNS კონფიგურაციის დამატება. ცხადია, სწორედ ამისთვისაა დაშიფრული არხები.

უსაფრთხოება ჩემი უმთავრესი პრიორიტეტია და ახლა არ მაქვს საფუძველი დავიჯერო, რომ IKE ან TLS არის რაიმე სახის კომპრომეტირებული ან გატეხილი. თანამედროვე დაშიფვრა ორივე მათგანშია მხარდაჭერილი და ისინი დადასტურებულია ათწლეულების მუშაობის შედეგად. მხოლოდ იმიტომ, რომ რაღაც უფრო ახალია, არ ნიშნავს რომ უკეთესია.

ურთიერთთანამშრომლობა ძალზე მნიშვნელოვანია, როდესაც თქვენ დაუკავშირდებით მესამე მხარეებს, რომელთა სადგურებს არ აკონტროლებთ. IPsec არის დე ფაქტო სტანდარტი და მხარდაჭერილია თითქმის ყველგან. და ის მუშაობს. და როგორც არ უნდა გამოიყურებოდეს, თეორიულად, მომავალში WireGuard შეიძლება არ იყოს თავსებადი საკუთარი თავის სხვადასხვა ვერსიებთანაც კი.

ნებისმიერი კრიპტოგრაფიული დაცვა ადრე თუ გვიან იშლება და, შესაბამისად, უნდა შეიცვალოს ან განახლდეს.

ყველა ამ ფაქტის უარყოფა და WireGuard-ის გამოყენების ბრმად სურვილი თქვენი iPhone-ის სახლის სამუშაო სადგურთან დასაკავშირებლად არის მხოლოდ მასტერკლასი ქვიშაში თავის ჩასართავად.

წყარო: www.habr.com