តើ WireGuard គឺជា VPN ដ៏អស្ចារ្យនាពេលអនាគតមែនទេ?

ពេលវេលាបានមកដល់នៅពេលដែល VPN លែងជាឧបករណ៍កម្រនិងអសកម្មរបស់អ្នកគ្រប់គ្រងប្រព័ន្ធពុកចង្ការទៀតហើយ។ អ្នកប្រើប្រាស់មានភារកិច្ចផ្សេងៗគ្នា ប៉ុន្តែការពិតគឺថាមនុស្សគ្រប់គ្នាត្រូវការ VPN ។

បញ្ហាជាមួយនឹងដំណោះស្រាយ VPN បច្ចុប្បន្នគឺថាពួកគេពិបាកក្នុងការកំណត់រចនាសម្ព័ន្ធត្រឹមត្រូវ ថ្លៃដើមក្នុងការថែរក្សា និងពោរពេញដោយកូដកេរ្តិ៍ដំណែលនៃគុណភាពដែលអាចចោទសួរបាន។

កាលពីប៉ុន្មានឆ្នាំមុន អ្នកឯកទេសសន្តិសុខព័ត៌មានកាណាដា Jason A. Donenfeld បានសម្រេចចិត្តថាគាត់មានគ្រប់គ្រាន់ហើយ ហើយបានចាប់ផ្តើមធ្វើការលើ WireGuard. ឥឡូវនេះ WireGuard កំពុងត្រូវបានរៀបចំសម្រាប់ការដាក់បញ្ចូលក្នុងខឺណែលលីនុច ហើយថែមទាំងទទួលបានការសរសើរពី Linus Torvalds និងនៅក្នុង ព្រឹទ្ធសភាអាមេរិក.

អត្ថប្រយោជន៍ដែលបានអះអាងពី WireGuard លើដំណោះស្រាយ VPN ផ្សេងទៀត៖

• ងាយស្រួល​ប្រើ។
• ប្រើការគ្រីបបែបទំនើប៖ Noise protocol framework, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF ជាដើម។
• បង្រួម កូដដែលអាចអានបាន ងាយស្រួលក្នុងការស៊ើបអង្កេតរកភាពងាយរងគ្រោះ។
• ប្រសិទ្ធភាពខ្ពស់។
• ច្បាស់លាស់ និងល្អិតល្អន់ ការបញ្ជាក់.

រក​ឃើញ​គ្រាប់​ប្រាក់​ទេ? តើដល់ពេលត្រូវកប់ OpenVPN និង IPSec ទេ? ខ្ញុំបានសម្រេចចិត្តដោះស្រាយរឿងនេះ ហើយក្នុងពេលតែមួយខ្ញុំបានធ្វើ ស្គ្រីបសម្រាប់ដំឡើងម៉ាស៊ីនមេ VPN ផ្ទាល់ខ្លួនដោយស្វ័យប្រវត្តិ.

គោលការណ៍ការងារ

គោលការណ៍ប្រតិបត្តិការអាចត្រូវបានពិពណ៌នាដូចនេះ៖

• ចំណុចប្រទាក់ WireGuard ត្រូវបានបង្កើត ហើយសោឯកជន និងអាសយដ្ឋាន IP ត្រូវបានកំណត់ទៅវា។ ការកំណត់របស់មិត្តភក្ដិផ្សេងទៀតត្រូវបានផ្ទុក៖ សោសាធារណៈ អាសយដ្ឋាន IP របស់ពួកគេ។ល។
• កញ្ចប់ IP ទាំងអស់ដែលមកដល់ចំណុចប្រទាក់ WireGuard ត្រូវបានរុំព័ទ្ធនៅក្នុង UDP និង ដឹកជញ្ជូនដោយសុវត្ថិភាព មិត្តភក្ដិផ្សេងទៀត។
• អតិថិជនបញ្ជាក់អាសយដ្ឋាន IP សាធារណៈរបស់ម៉ាស៊ីនមេនៅក្នុងការកំណត់។ ម៉ាស៊ីនមេទទួលស្គាល់អាសយដ្ឋានខាងក្រៅរបស់អតិថិជនដោយស្វ័យប្រវត្តិ នៅពេលទទួលទិន្នន័យដែលបានផ្ទៀងផ្ទាត់ត្រឹមត្រូវពីពួកគេ។
• ម៉ាស៊ីនមេអាចផ្លាស់ប្តូរអាសយដ្ឋាន IP សាធារណៈដោយមិនរំខានការងាររបស់វា។ ក្នុងពេលជាមួយគ្នានេះ វានឹងផ្ញើការជូនដំណឹងទៅកាន់អតិថិជនដែលបានភ្ជាប់ ហើយពួកគេនឹងធ្វើបច្ចុប្បន្នភាពការកំណត់របស់ពួកគេភ្លាមៗ។
• គោលគំនិតនៃផ្លូវត្រូវប្រើ ការកំណត់ផ្លូវគ្រីបតូ. WireGuard ទទួលយក និងផ្ញើកញ្ចប់ព័ត៌មានដោយផ្អែកលើសោសាធារណៈរបស់មិត្តភ័ក្តិ។ នៅពេលដែលម៉ាស៊ីនមេឌិគ្រីបកញ្ចប់ព័ត៌មានដែលបានផ្ទៀងផ្ទាត់ត្រឹមត្រូវ វាល src របស់វាត្រូវបានធីក។ ប្រសិនបើវាត្រូវគ្នានឹងការកំណត់ allowed-ips មិត្តភ័ក្តិដែលបានផ្ទៀងផ្ទាត់ កញ្ចប់ព័ត៌មានត្រូវបានទទួលដោយចំណុចប្រទាក់ WireGuard ។ នៅពេលផ្ញើកញ្ចប់ព័ត៌មានចេញ ដំណើរការដែលត្រូវគ្នាកើតឡើង៖ វាល dst នៃកញ្ចប់ព័ត៌មានត្រូវបានយក ហើយផ្អែកលើវា មិត្តភ័ក្តិដែលត្រូវគ្នាត្រូវបានជ្រើសរើស កញ្ចប់ព័ត៌មានត្រូវបានចុះហត្ថលេខាដោយកូនសោរបស់វា អ៊ិនគ្រីបជាមួយកូនសោរបស់មិត្តភ័ក្តិ និងផ្ញើទៅកាន់ចំណុចបញ្ចប់ពីចម្ងាយ។ .

រាល់តក្កវិជ្ជាស្នូលរបស់ WireGuard ប្រើប្រាស់កូដតិចជាង 4 ពាន់បន្ទាត់ ខណៈពេលដែល OpenVPN និង IPSec មានរាប់រយរាប់ពាន់បន្ទាត់។ ដើម្បីគាំទ្រក្បួនដោះស្រាយការគ្រីបបែបទំនើប វាត្រូវបានស្នើឱ្យបញ្ចូល API គ្រីបគ្រីបថ្មីនៅក្នុងខឺណែលលីនុច ស័ង្កសី. បច្ចុប្បន្ន​នេះ​មាន​ការ​ពិភាក្សា​បន្ត​ថា​តើ​នេះ​ជា​គំនិត​ល្អ​ឬ​អត់។

ផលិតភាព

អត្ថប្រយោជន៍នៃការអនុវត្តអតិបរមា (បើប្រៀបធៀបទៅនឹង OpenVPN និង IPSec) នឹងគួរឱ្យកត់សម្គាល់នៅលើប្រព័ន្ធលីនុច ចាប់តាំងពី WireGuard ត្រូវបានអនុវត្តជាម៉ូឌុលខឺណែលនៅទីនោះ។ លើសពីនេះទៀត macOS, Android, iOS, FreeBSD និង OpenBSD ត្រូវបានគាំទ្រ ប៉ុន្តែនៅក្នុងពួកវា WireGuard ដំណើរការក្នុងចន្លោះអ្នកប្រើប្រាស់ជាមួយនឹងផលវិបាកនៃដំណើរការទាំងអស់។ ការគាំទ្រ Windows ត្រូវបានគេរំពឹងថានឹងត្រូវបានបន្ថែមនាពេលអនាគតដ៏ខ្លី។

លទ្ធផលស្តង់ដារជាមួយ គេហទំព័រផ្លូវការ:

បទពិសោធន៍ប្រើប្រាស់របស់ខ្ញុំ

ខ្ញុំមិនមែនជាអ្នកជំនាញ VPN ទេ។ ខ្ញុំធ្លាប់ដំឡើង OpenVPN ដោយដៃ ហើយវាពិតជាធុញទ្រាន់ណាស់ ហើយខ្ញុំក៏មិនបានសាកល្បង IPSec ដែរ។ មានការសម្រេចចិត្តច្រើនពេកក្នុងការធ្វើ វាងាយស្រួលណាស់ក្នុងការបាញ់ខ្លួនឯងដោយជើង។ ដូច្នេះ ខ្ញុំតែងតែប្រើស្គ្រីបដែលត្រៀមរួចជាស្រេច ដើម្បីកំណត់រចនាសម្ព័ន្ធម៉ាស៊ីនមេ។

ដូច្នេះ WireGuard តាមទស្សនៈរបស់ខ្ញុំ ជាទូទៅគឺល្អសម្រាប់អ្នកប្រើប្រាស់។ ការសម្រេចចិត្តកម្រិតទាបទាំងអស់ត្រូវបានធ្វើឡើងនៅក្នុងការបញ្ជាក់ ដូច្នេះដំណើរការនៃការរៀបចំហេដ្ឋារចនាសម្ព័ន្ធ VPN ធម្មតាចំណាយពេលតែប៉ុន្មាននាទីប៉ុណ្ណោះ។ វាស្ទើរតែមិនអាចទៅរួចទេក្នុងការក្លែងបន្លំនៅក្នុងការកំណត់រចនាសម្ព័ន្ធ។

ដំណើរការតំឡើង បានពិពណ៌នាលម្អិត នៅលើគេហទំព័រផ្លូវការ ខ្ញុំចង់កត់សម្គាល់ដោយឡែកពីគ្នានូវភាពល្អឥតខ្ចោះ ការគាំទ្រ OpenWRT.

សោអ៊ិនគ្រីបត្រូវបានបង្កើតដោយឧបករណ៍ប្រើប្រាស់ wg:

SERVER_PRIVKEY=$( wg genkey )
SERVER_PUBKEY=$( echo $SERVER_PRIVKEY | wg pubkey )
CLIENT_PRIVKEY=$( wg genkey )
CLIENT_PUBKEY=$( echo $CLIENT_PRIVKEY | wg pubkey )

បន្ទាប់មក អ្នកត្រូវបង្កើត server config /etc/wireguard/wg0.conf ជាមួយនឹងខ្លឹមសារដូចខាងក្រោម៖

[Interface]
Address = 10.9.0.1/24
PrivateKey = $SERVER_PRIVKEY
[Peer]
PublicKey = $CLIENT_PUBKEY
AllowedIPs = 10.9.0.2/32

ហើយលើកផ្លូវរូងក្រោមដីដោយប្រើស្គ្រីប wg-quick:

sudo wg-quick up /etc/wireguard/wg0.conf

នៅលើប្រព័ន្ធដែលមាន systemd អ្នកអាចប្រើវាជំនួសវិញ។ sudo systemctl start [email protected].

នៅលើម៉ាស៊ីនភ្ញៀវ បង្កើត config /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = $CLIENT_PRIVKEY
Address = 10.9.0.2/24
[Peer]
PublicKey = $SERVER_PUBKEY
AllowedIPs = 0.0.0.0/0
Endpoint = 1.2.3.4:51820 # Внешний IP сервера
PersistentKeepalive = 25 

ហើយលើកផ្លូវរូងក្រោមដីតាមរបៀបដូចគ្នា៖

sudo wg-quick up /etc/wireguard/wg0.conf

អ្វីដែលនៅសេសសល់គឺត្រូវកំណត់រចនាសម្ព័ន្ធ NAT នៅលើម៉ាស៊ីនមេ ដើម្បីឱ្យអតិថិជនអាចចូលប្រើអ៊ីនធឺណិតបាន ហើយអ្នករួចរាល់ហើយ!

ភាពងាយស្រួលនៃការប្រើប្រាស់ និងការបង្រួមនៃមូលដ្ឋានកូដនេះត្រូវបានសម្រេចដោយការលុបបំបាត់មុខងារចែកចាយគន្លឹះ។ មិនមានប្រព័ន្ធវិញ្ញាបនបត្រស្មុគ្រស្មាញ និងការភ័យរន្ធត់សាជីវកម្មទាំងអស់នេះទេ សោអ៊ិនគ្រីបខ្លីត្រូវបានចែកចាយជាច្រើនដូចជាសោ SSH ដែរ។ ប៉ុន្តែនេះបង្កបញ្ហា៖ WireGuard នឹងមិនងាយស្រួលទេក្នុងការអនុវត្តលើបណ្តាញដែលមានស្រាប់មួយចំនួន។

ក្នុងចំណោមគុណវិបត្តិ វាគួរអោយកត់សំគាល់ថា WireGuard នឹងមិនដំណើរការតាមរយៈប្រូកស៊ី HTTP ទេ ព្រោះមានតែពិធីការ UDP ប៉ុណ្ណោះដែលអាចប្រើបានជាការដឹកជញ្ជូន។ សំណួរកើតឡើង៖ តើវាអាចទៅរួចទេក្នុងការបំភាន់ពិធីការ? ជាការពិតណាស់ នេះមិនមែនជាភារកិច្ចផ្ទាល់របស់ VPN ទេ ប៉ុន្តែសម្រាប់ OpenVPN ជាឧទាហរណ៍ មានវិធីដើម្បីក្លែងខ្លួនវាជា HTTPS ដែលជួយប្រជាជននៃប្រទេសផ្តាច់ការប្រើប្រាស់អ៊ីនធឺណិតយ៉ាងពេញលេញ។

ការរកឃើញ

ដើម្បីសង្ខេប នេះគឺជាគម្រោងគួរឱ្យចាប់អារម្មណ៍ និងជោគជ័យ អ្នកអាចប្រើវានៅលើម៉ាស៊ីនមេផ្ទាល់ខ្លួនរួចហើយ។ តើចំណេញអ្វី? ដំណើរការខ្ពស់នៅលើប្រព័ន្ធលីនុច ភាពងាយស្រួលនៃការដំឡើង និងការគាំទ្រ បង្រួម និងមូលដ្ឋានកូដដែលអាចអានបាន។ ទោះជាយ៉ាងណាក៏ដោយ វាលឿនពេកក្នុងការប្រញាប់ប្រញាល់ផ្ទេរហេដ្ឋារចនាសម្ព័ន្ធស្មុគស្មាញទៅ WireGuard វាមានតម្លៃរង់ចាំការដាក់បញ្ចូលរបស់វានៅក្នុងខឺណែលលីនុច។

ដើម្បីសន្សំពេលវេលារបស់ខ្ញុំ (និងរបស់អ្នក) ខ្ញុំបានអភិវឌ្ឍ កម្មវិធីដំឡើងដោយស្វ័យប្រវត្តិ WireGuard. ដោយមានជំនួយរបស់វា អ្នកអាចរៀបចំ VPN ផ្ទាល់ខ្លួនសម្រាប់ខ្លួនអ្នក និងមិត្តភ័ក្តិរបស់អ្នកដោយមិនយល់អ្វីទាំងអស់អំពីវា។

ប្រភព: www.habr.com