არის WireGuard მომავლის შესანიშნავი VPN?

დადგა დრო, როდესაც VPN აღარ არის წვერიანი სისტემის ადმინისტრატორების ეგზოტიკური ინსტრუმენტი. მომხმარებლებს განსხვავებული დავალებები აქვთ, მაგრამ ფაქტია, რომ ყველას სჭირდება VPN.

ამჟამინდელი VPN გადაწყვეტილებების პრობლემა ის არის, რომ ძნელია მათი სწორად კონფიგურაცია, ძვირი შენარჩუნება და სავსეა საეჭვო ხარისხის მემკვიდრეობითი კოდით.

რამდენიმე წლის წინ, კანადელმა ინფორმაციული უსაფრთხოების სპეციალისტმა ჯეისონ ა. დონენფელდმა გადაწყვიტა, რომ საკმარისი იყო და დაიწყო მუშაობა. WireGuard. WireGuard ახლა მზადდება Linux-ის ბირთვში ჩართვისთვის და მოწონებაც კი მიიღო ლინუს ტორვალდსი და აშშ-ს სენატი.

WireGuard-ის პრეტენზიები სხვა VPN გადაწყვეტილებებთან შედარებით:

• მარტივი.
• იყენებს თანამედროვე კრიპტოგრაფიას: Noise protocol frame, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF და ა.შ.
• კომპაქტური, იკითხებადი კოდი, უფრო ადვილი გამოსაკვლევი დაუცველობისთვის.
• Მაღალი დონის შესრულება.
• ნათელი და დახვეწილი სპეციფიკაცია.

იპოვეს ვერცხლის ტყვია? დროა დავმარხოთ OpenVPN და IPSec? გადავწყვიტე გამკლავება ამით და ამავდროულად გავაკეთე სკრიპტი პერსონალური VPN სერვერის ავტომატურად ინსტალაციისთვის.

სამუშაოების პრინციპები

ოპერაციული პრინციპები შეიძლება ასე აღწერილი იყოს:

• იქმნება WireGuard ინტერფეისი და მას ენიჭება პირადი გასაღები და IP მისამართი. იტვირთება სხვა თანატოლების პარამეტრები: მათი საჯარო გასაღებები, IP მისამართები და ა.შ.
• ყველა IP პაკეტი, რომელიც მოდის WireGuard ინტერფეისში, ჩასმულია UDP-ში და უსაფრთხოდ მიწოდებული სხვა თანატოლები.
• კლიენტები პარამეტრებში მიუთითებენ სერვერის საჯარო IP მისამართს. სერვერი ავტომატურად ცნობს კლიენტების გარე მისამართებს, როდესაც მათგან მიიღება სწორად დამოწმებული მონაცემები.
• სერვერს შეუძლია შეცვალოს საჯარო IP მისამართი მისი მუშაობის შეფერხების გარეშე. ამავდროულად, ის გაუგზავნის გაფრთხილებას დაკავშირებულ კლიენტებს და ისინი განაახლებს მათ კონფიგურაციას.
• გამოიყენება მარშრუტის კონცეფცია კრიპტო გასაღების მარშრუტიზაცია. WireGuard იღებს და აგზავნის პაკეტებს თანატოლების საჯარო გასაღების საფუძველზე. როდესაც სერვერი შიფრავს სწორად დამოწმებულ პაკეტს, მისი src ველი მოწმდება. თუ ის ემთხვევა კონფიგურაციას allowed-ips ავთენტიფიცირებული თანატოლი, პაკეტი მიიღება WireGuard ინტერფეისით. გამავალი პაკეტის გაგზავნისას ხდება შესაბამისი პროცედურა: იღებენ პაკეტის dst ველს და მის საფუძველზე ირჩევენ შესაბამის თანატოლს, პაკეტს ხელს აწერს თავისი გასაღებით, იშიფრება თანატოლის გასაღებით და იგზავნება დისტანციურ ბოლო წერტილში. .

WireGuard-ის მთელი ძირითადი ლოგიკა იკავებს 4 ათასზე ნაკლებ კოდს, ხოლო OpenVPN-სა და IPSec-ს აქვს ასობით ათასი ხაზი. თანამედროვე კრიპტოგრაფიული ალგორითმების მხარდასაჭერად, შემოთავაზებულია Linux-ის ბირთვში ახალი კრიპტოგრაფიული API-ის ჩართვა. თუთია. ამჟამად მიმდინარეობს დისკუსია იმის შესახებ, არის თუ არა ეს კარგი იდეა.

მოქმედება

შესრულების მაქსიმალური უპირატესობა (OpenVPN-თან და IPSec-თან შედარებით) შესამჩნევი იქნება Linux სისტემებზე, რადგან WireGuard დანერგილია, როგორც ბირთვის მოდული. გარდა ამისა, მხარდაჭერილია macOS, Android, iOS, FreeBSD და OpenBSD, მაგრამ მათში WireGuard მუშაობს მომხმარებელთა სივრცეში ყველა შემდგომი შესრულების შედეგით. Windows-ის მხარდაჭერა სავარაუდოდ დაემატება უახლოეს მომავალში.

საორიენტაციო შედეგების მიხედვით ოფიციალური საიტი:

ჩემი გამოყენების გამოცდილება

მე არ ვარ VPN ექსპერტი. მე ერთხელ ხელით დავაყენე OpenVPN და ეს ძალიან დამღლელი იყო და არც კი ვცადე IPSec. გადაწყვეტილების მიღება ძალიან ბევრია, ფეხში სროლა ძალიან მარტივია. ამიტომ, მე ყოველთვის ვიყენებდი მზა სკრიპტებს სერვერის კონფიგურაციისთვის.

ასე რომ, WireGuard, ჩემი აზრით, ზოგადად იდეალურია მომხმარებლისთვის. ყველა დაბალი დონის გადაწყვეტილება მიიღება სპეციფიკაციაში, ამიტომ ტიპიური VPN ინფრასტრუქტურის მომზადების პროცესს მხოლოდ რამდენიმე წუთი სჭირდება. კონფიგურაციაში მოტყუება თითქმის შეუძლებელია.

ინსტალაციის პროცესი დეტალურად აღწერილი ოფიციალურ ვებგვერდზე მინდა ცალკე აღვნიშნო შესანიშნავი OpenWRT მხარდაჭერა.

დაშიფვრის გასაღებები გენერირდება კომუნალური პროგრამის მიერ wg:

SERVER_PRIVKEY=$( wg genkey )
SERVER_PUBKEY=$( echo $SERVER_PRIVKEY | wg pubkey )
CLIENT_PRIVKEY=$( wg genkey )
CLIENT_PUBKEY=$( echo $CLIENT_PRIVKEY | wg pubkey )

შემდეგი, თქვენ უნდა შექმნათ სერვერის კონფიგურაცია /etc/wireguard/wg0.conf შემდეგი შინაარსით:

[Interface]
Address = 10.9.0.1/24
PrivateKey = $SERVER_PRIVKEY
[Peer]
PublicKey = $CLIENT_PUBKEY
AllowedIPs = 10.9.0.2/32

და აწიეთ გვირაბი სკრიპტით wg-quick:

sudo wg-quick up /etc/wireguard/wg0.conf

სისტემებზე systemd-ით შეგიძლიათ ამის ნაცვლად გამოიყენოთ sudo systemctl start [email protected].

კლიენტის მანქანაზე შექმენით კონფიგურაცია /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = $CLIENT_PRIVKEY
Address = 10.9.0.2/24
[Peer]
PublicKey = $SERVER_PUBKEY
AllowedIPs = 0.0.0.0/0
Endpoint = 1.2.3.4:51820 # Внешний IP сервера
PersistentKeepalive = 25 

და ასწიეთ გვირაბი იმავე გზით:

sudo wg-quick up /etc/wireguard/wg0.conf

რჩება მხოლოდ NAT-ის კონფიგურაცია სერვერზე, რათა კლიენტებს შეეძლოთ ინტერნეტში წვდომა და თქვენ დაასრულეთ!

კოდის ბაზის ეს სიმარტივე და კომპაქტურობა მიღწეული იქნა გასაღების განაწილების ფუნქციონირების აღმოფხვრით. არ არსებობს რთული სერტიფიკატის სისტემა და მთელი ეს კორპორატიული საშინელება; მოკლე დაშიფვრის გასაღებები ნაწილდება SSH გასაღებების მსგავსად. მაგრამ ეს უქმნის პრობლემას: WireGuard-ის დანერგვა არც ისე ადვილი იქნება ზოგიერთ არსებულ ქსელში.

ნაკლოვანებებს შორის აღსანიშნავია, რომ WireGuard არ იმუშავებს HTTP პროქსის საშუალებით, რადგან მხოლოდ UDP პროტოკოლი ხელმისაწვდომია ტრანსპორტის სახით. ჩნდება კითხვა: შესაძლებელი იქნება თუ არა პროტოკოლის გაბუნდოვნება? რა თქმა უნდა, ეს არ არის VPN-ის პირდაპირი დავალება, მაგრამ OpenVPN-ისთვის, მაგალითად, არსებობს გზები შენიღბვის HTTPS-ად, რაც ეხმარება ტოტალიტარული ქვეყნების მაცხოვრებლებს სრულად გამოიყენონ ინტერნეტი.

დასკვნები

რომ შევაჯამოთ, ეს ძალიან საინტერესო და პერსპექტიული პროექტია, მისი გამოყენება უკვე შეგიძლიათ პერსონალურ სერვერებზე. რა მოგებაა? მაღალი წარმადობა Linux სისტემებზე, დაყენების სიმარტივე და მხარდაჭერა, კომპაქტური და წასაკითხი კოდის ბაზა. თუმცა, ჯერ ნაადრევია ვიჩქაროთ რთული ინფრასტრუქტურის WireGuard-ზე გადაცემა; ღირს ველოდოთ მის ჩართვას Linux-ის ბირთვში.

ჩემი (და თქვენი) დროის დაზოგვის მიზნით, მე განვავითარე WireGuard ავტომატური ინსტალერი. მისი დახმარებით თქვენ შეგიძლიათ შექმნათ პერსონალური VPN თქვენთვის და თქვენი მეგობრებისთვის ისე, რომ არც კი გაიგოთ ამის შესახებ.

წყარო: www.habr.com