WireGuard는 미래의 훌륭한 VPN입니까?

VPN이 더 이상 턱수염 난 시스템 관리자의 이국적인 도구가 아닌 때가 왔습니다. 사용자의 업무는 다르지만 사실 VPN은 모든 사람에게 필요합니다.

현재 VPN 솔루션의 문제점은 적절하게 구성하기 어렵고 유지 관리 비용이 많이 들고 의심스러운 품질의 레거시 코드로 가득 차 있다는 것입니다.

몇 년 전, 캐나다 정보 보안 전문가인 Jason A. Donenfeld는 충분하다고 판단하고 작업을 시작했습니다. 와이어 가드. 이제 WireGuard는 Linux 커널에 포함될 준비를 하고 있으며 리누스 토발즈 과 미국 상원.

다른 VPN 솔루션에 비해 WireGuard의 장점:

• 사용하기 쉬운.
• 최신 암호화 사용: 노이즈 프로토콜 프레임워크, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF 등
• 가독성이 뛰어난 코드로 취약성을 쉽게 조사할 수 있습니다.
• 고성능.
• 명확하고 세공됨 사양.

은탄환이 발견되었나요? OpenVPN과 IPSec을 묻을 때가 되었습니까? 나는 이것을 처리하기로 결정했지만 동시에 개인 VPN 서버 자동 설치 스크립트.

일의 원리

작동 원리는 다음과 같이 설명할 수 있습니다.

• WireGuard 인터페이스가 생성되고 개인 키와 IP 주소가 할당됩니다. 공개 키, IP 주소 등 다른 피어의 설정이 로드됩니다.
• WireGuard 인터페이스에 도착하는 모든 IP 패킷은 UDP로 캡슐화되며 안전하게 배송 다른 해적들.
• 클라이언트는 설정에서 서버의 공용 IP 주소를 설정합니다. 서버는 올바르게 인증된 데이터가 올 때 클라이언트의 외부 주소를 자동으로 학습합니다.
• 서버는 작업을 중단하지 않고 공용 IP 주소를 변경할 수 있습니다. 동시에 연결된 클라이언트에 알림을 보내고 즉시 구성을 업데이트합니다.
• 라우팅 개념을 사용 암호키 라우팅. WireGuard는 피어의 공개 키를 기반으로 패킷을 수신하고 전송합니다. 서버가 올바르게 인증된 패킷을 해독하면 해당 src 필드가 확인됩니다. 구성과 일치하는 경우 allowed-ips 인증된 피어가 있으면 WireGuard 인터페이스에서 패킷을 수신합니다. 발신 패킷을 보낼 때 해당 절차가 발생합니다. 패킷의 dst 필드를 취하고 이를 기반으로 해당 피어가 선택되고 패킷이 자체 키로 서명되고 피어의 키로 암호화되어 원격으로 전송됩니다. 끝점.

WireGuard의 전체 핵심 로직은 4줄 미만의 코드를 사용하는 반면 OpenVPN 및 IPSec에는 수십만 줄의 코드가 있습니다. 최신 암호화 알고리즘을 지원하기 위해 Linux 커널에 새로운 암호화 API를 포함할 것을 제안합니다. 아연. 현재 이 아이디어가 얼마나 좋은지에 대한 토론이 있습니다.

Производительность

WireGuard가 커널 모듈로 구현되기 때문에 Linux 시스템에서 최대 성능 이점(OpenVPN 및 IPSec과 비교)이 눈에 띕니다. 또한 macOS, Android, iOS, FreeBSD 및 OpenBSD가 지원되지만 사용자 공간에서 WireGuard를 실행하여 성능에 영향을 미칩니다. 가까운 시일 내에 Windows 지원이 추가될 예정입니다.

벤치마크 결과 공식 사이트:

나의 사용 경험

저는 VPN 설정 전문가가 아닙니다. 일단 핸들로 OpenVPN을 설정했는데 매우 지루했고 IPSec은 시도조차 하지 않았습니다. 내려야 할 결정이 너무 많아서 자책하기 쉽습니다. 따라서 저는 항상 기성품 스크립트를 사용하여 서버를 구성했습니다.

따라서 제 관점에서 WireGuard는 일반적으로 사용자에게 이상적입니다. 모든 낮은 수준의 결정은 사양에서 이루어지므로 일반적인 VPN 인프라를 준비하는 프로세스는 몇 분 밖에 걸리지 않습니다. 구성의 Nafakapit은 거의 불가능합니다.

설치 과정 자세히 설명 공식 웹 사이트에서 우수성을 별도로 언급하고 싶습니다. OpenWRT 지원.

암호화 키는 유틸리티에서 생성됩니다. wg:

SERVER_PRIVKEY=$( wg genkey )
SERVER_PUBKEY=$( echo $SERVER_PRIVKEY | wg pubkey )
CLIENT_PRIVKEY=$( wg genkey )
CLIENT_PUBKEY=$( echo $CLIENT_PRIVKEY | wg pubkey )

다음으로 서버 구성을 만들어야 합니다. /etc/wireguard/wg0.conf 다음 내용으로:

[Interface]
Address = 10.9.0.1/24
PrivateKey = $SERVER_PRIVKEY
[Peer]
PublicKey = $CLIENT_PUBKEY
AllowedIPs = 10.9.0.2/32

스크립트로 터널을 들어 올리십시오. wg-quick:

sudo wg-quick up /etc/wireguard/wg0.conf

systemd가 있는 시스템에서는 이것을 대신 사용할 수 있습니다. sudo systemctl start [email protected].

클라이언트 시스템에서 구성을 만듭니다. /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = $CLIENT_PRIVKEY
Address = 10.9.0.2/24
[Peer]
PublicKey = $SERVER_PUBKEY
AllowedIPs = 0.0.0.0/0
Endpoint = 1.2.3.4:51820 # Внешний IP сервера
PersistentKeepalive = 25 

같은 방법으로 터널을 들어 올립니다.

sudo wg-quick up /etc/wireguard/wg0.conf

클라이언트가 인터넷에 액세스할 수 있도록 서버에서 NAT를 구성하면 완료됩니다!

이러한 사용 편의성과 코드 기반의 압축성은 키 배포 기능을 제거함으로써 달성되었습니다. 복잡한 인증서 시스템이 없으며이 모든 기업 공포, 짧은 암호화 키는 대략 SSH 키와 같이 배포됩니다. 그러나 이것은 문제를 야기합니다. WireGuard는 일부 기존 네트워크에서 구현하기 쉽지 않을 것입니다.

단점 중 WireGuard는 전송 수단으로 UDP 프로토콜만 있기 때문에 HTTP 프록시를 통해 작동하지 않는다는 점에 주목할 가치가 있습니다. 프로토콜을 난독화하는 것이 가능할까요? 물론 이것은 VPN의 직접적인 작업은 아니지만 예를 들어 OpenVPN의 경우 HTTPS로 위장하여 전체주의 국가 거주자가 인터넷을 최대한 사용할 수 있도록 도와주는 방법이 있습니다.

조사 결과

요약하면 이것은 매우 흥미롭고 유망한 프로젝트이며 이미 개인 서버에서 사용할 수 있습니다. 이익은 무엇입니까? Linux 시스템의 고성능, 설치 및 유지 관리 용이성, 작고 읽기 쉬운 코드 기반. 그러나 복잡한 인프라를 WireGuard로 이전하기에는 너무 이르므로 Linux 커널에 포함될 때까지 기다릴 가치가 있습니다.

내 (그리고 당신의) 시간을 절약하기 위해, 나는 개발 와이어가드 자동 설치 프로그램. 그것으로 당신은 그것에 대해 아무것도 이해하지 않고도 당신과 당신의 친구들을 위한 개인 VPN을 설정할 수 있습니다.

출처 : habr.com