ເຂົ້າໄປໃນແກນກາງ Linux 5.6 ເປີດໃຊ້ງານ VPN ແລ້ວ WireGuard

ມື້ນີ້ Linus ໄດ້ຍ້າຍສາຂາຕໍ່ໄປທີ່ມີສ່ວນຕິດຕໍ່ VPN ກັບຕົວເອງ WireGuard. ກ່ຽວກັບເຫດການນີ້ ລາຍງານ ຢູ່ໃນບັນຊີລາຍຊື່ທາງໄປສະນີ WireGuard.

ການເກັບກຳລະຫັດສຳລັບ kernel ໃໝ່ກຳລັງດຳເນີນຢູ່ໃນປະຈຸບັນ. Linux 5.6​. WireGuard — VPN ລຸ້ນຕໍ່ໄປທີ່ໄວ ແລະ ມີປະສິດທິພາບສູງ ເຊິ່ງໃຊ້ການເຂົ້າລະຫັດທີ່ທັນສະໄໝ. ໃນເບື້ອງຕົ້ນມັນໄດ້ຖືກພັດທະນາເປັນທາງເລືອກທີ່ງ່າຍກວ່າ ແລະ ສະດວກກວ່າ VPN ທີ່ມີຢູ່ແລ້ວ. ມັນໄດ້ຖືກພັດທະນາໂດຍຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານຂອງການາດາ Jason A. Donenfeld. ໃນເດືອນສິງຫາ 2018, WireGuard ໄດ້ຮັບການຍ້ອງຍໍ ຈາກ Linus Torvalds. ໃນຊ່ວງເວລານັ້ນ, ວຽກງານໄດ້ເລີ່ມຕົ້ນກ່ຽວກັບການລວມ VPN ເຂົ້າໃນ kernel. Linuxຂະບວນການດັ່ງກ່າວໃຊ້ເວລາດົນກວ່າໜ້ອຍໜຶ່ງ.

"ຂ້ອຍເຫັນ Jason ເຮັດການຮ້ອງຂໍດຶງເພື່ອລວມເອົາ WireGuard "ເຂົ້າໄປໃນ kernel," Linus ຂຽນໃນວັນທີ 2 ສິງຫາ 2018. "ຂ້ອຍສາມາດເວົ້າຊໍ້າອີກເຖິງຄວາມຮັກຂອງຂ້ອຍຕໍ່ VPN ນີ້ ແລະ ຫວັງວ່າຈະລວມເຂົ້າກັນໄດ້ໄວບໍ? ລະຫັດອາດຈະບໍ່ສົມບູນແບບ, ແຕ່ຂ້ອຍໄດ້ເບິ່ງມັນແລ້ວ, ແລະ ປຽບທຽບກັບສິ່ງທີ່ໜ້າຢ້ານກົວ OpenVPN ແລະ IPSec, ມັນແມ່ນຜົນງານສິລະປະທີ່ແທ້ຈິງ.

ເຖິງວ່າຈະມີຄວາມປາດຖະຫນາຂອງ Linus, ການລວມຕົວໄດ້ສືບຕໍ່ເປັນເວລາຫນຶ່ງປີແລະເຄິ່ງຫນຶ່ງ. ບັນຫາຕົ້ນຕໍໄດ້ຫັນອອກຈາກການຜູກມັດກັບການປະຕິບັດຫນ້າທີ່ການເຂົ້າລະຫັດລັບ, ເຊິ່ງຖືກນໍາໃຊ້ເພື່ອປັບປຸງການປະຕິບັດ. ຫຼັງ​ຈາກ​ການ​ເຈ​ລະ​ຈາ​ທີ່​ຍາວ​ນານ​ໃນ​ເດືອນ​ກັນ​ຍາ 2019 ມັນ​ເປັນ ມີການຕັດສິນໃຈປະນີປະນອມ ແປແພັດຊ໌ໃຫ້ເປັນຟັງຊັນ Crypto API ທີ່ມີຢູ່ໃນເຄີເນລ, ເຊິ່ງນັກພັດທະນາສາມາດເຂົ້າເຖິງໄດ້ WireGuard ມີການຮ້ອງຮຽນບາງຢ່າງກ່ຽວກັບປະສິດທິພາບ ແລະ ຄວາມປອດໄພໂດຍລວມ. ແຕ່ຟັງຊັນ crypto ພື້ນເມືອງໄດ້ແກ້ໄຂບັນຫາດັ່ງກ່າວ. WireGuard ແຍກ Zinc API ລະດັບຕ່ຳ ແລະ ພອດພວກມັນໄປຫາ kernel ຕາມການເວລາ. ໃນເດືອນພະຈິກ, ນັກພັດທະນາ kernel ໄດ້ຮັກສາຄຳໝັ້ນສັນຍາຂອງເຂົາເຈົ້າ ແລະ ຕົກລົງ ໂອນສ່ວນຫນຶ່ງຂອງລະຫັດຈາກສັງກະສີໄປຫາແກ່ນຕົ້ນຕໍ. ຕົວຢ່າງ, ໃນ Crypto API ລວມ ກະກຽມໄວ້ໃນ WireGuard ການປະຕິບັດຢ່າງວ່ອງໄວຂອງອັລກໍຣິທຶມ ChaCha20 ແລະ Poly1305.

ສຸດທ້າຍ, ໃນວັນທີ 9 ທັນວາ 2019, David S. Miller, ຜູ້ທີ່ຮັບຜິດຊອບລະບົບຍ່ອຍເຄືອຂ່າຍ kernel, Linux, ຍອມຮັບ ໄປຫາສາຂາຕໍ່ໄປ ເພີ້ມ ດ້ວຍການຈັດຕັ້ງປະຕິບັດການໂຕ້ຕອບ VPN ຈາກໂຄງການ WireGuard.

ແລະໃນມື້ນີ້, 29 ມັງກອນ 2020, ການປ່ຽນແປງໄດ້ໄປຫາ Linus ສໍາລັບການລວມຢູ່ໃນແກ່ນ.

ສິດທິປະໂຫຍດທີ່ອ້າງສິດ WireGuard ທຽບກັບວິທີແກ້ໄຂ VPN ອື່ນໆ:

• ງ່າຍ​ທີ່​ຈະ​ນໍາ​ໃຊ້.
• ໃຊ້ການເຂົ້າລະຫັດລັບທີ່ທັນສະໄຫມ: Noise protocol framework, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF, ແລະອື່ນໆ.
• ກະທັດຮັດ, ລະຫັດທີ່ສາມາດອ່ານໄດ້, ງ່າຍຕໍ່ການກວດສອບຊ່ອງໂຫວ່.
• ປະສິດທິພາບສູງ.
• ຈະແຈ້ງ ແລະ ລະອຽດ ສະເພາະ.

ເຫດຜົນພື້ນຖານທັງໝົດ WireGuard ໃຊ້ລະຫັດໜ້ອຍກວ່າ 4000 ແຖວ, ໃນຂະນະທີ່ OpenVPN ແລະ IPSec ແມ່ນຫຼາຍຮ້ອຍພັນແຖວ.

“ວ WireGuard ແນວຄວາມຄິດຂອງການກຳນົດເສັ້ນທາງກະແຈເຂົ້າລະຫັດແມ່ນຖືກນໍາໃຊ້, ເຊິ່ງກ່ຽວຂ້ອງກັບການຜູກມັດກະແຈສ່ວນຕົວກັບແຕ່ລະອິນເຕີເຟດເຄືອຂ່າຍ ແລະ ນໍາໃຊ້ມັນສໍາລັບການຜູກມັດກະແຈສາທາລະນະ. ກະແຈສາທາລະນະແມ່ນແລກປ່ຽນເພື່ອສ້າງການເຊື່ອມຕໍ່ໃນລັກສະນະທີ່ຄ້າຍຄືກັນກັບ SSH. ເພື່ອເຈລະຈາກະແຈ ແລະ ສ້າງການເຊື່ອມຕໍ່ໂດຍບໍ່ຕ້ອງໃຊ້ daemon ແຍກຕ່າງຫາກໃນພື້ນທີ່ຜູ້ໃຊ້, ກົນໄກ Noise_IK ຈາກ Noise Protocol Frameworkຄ້າຍຄືກັນກັບການຮັກສາ authorized_keys ໃນ SSH. ການສົ່ງຂໍ້ມູນແມ່ນດໍາເນີນການໂດຍຜ່ານການ encapsulation ໃນຊຸດ UDP. ສະ​ຫນັບ​ສະ​ຫນູນ​ການ​ປ່ຽນ​ແປງ​ທີ່​ຢູ່ IP ຂອງ​ເຄື່ອງ​ແມ່​ຂ່າຍ VPN (roaming​) ໂດຍ​ບໍ່​ມີ​ການ​ຕັດ​ການ​ເຊື່ອມ​ຕໍ່​ກັບ​ການ reconfiguration ອັດ​ຕະ​ໂນ​ມັດ​ຂອງ​ລູກ​ຄ້າ​, - ພຣະອົງໄດ້ຂຽນ Opennet.

ສໍາລັບການເຂົ້າລະຫັດ ຖືກນໍາໃຊ້ stream cipher ChaCha20 ແລະລະບົບການກວດສອບຂໍ້ຄວາມ (MAC) Poly1305ອອກແບບໂດຍ Daniel Bernstein (Daniel J. Bernstein), Tanja Lange ແລະ Peter Schwabe. ChaCha20 ແລະ Poly1305 ຖືກຈັດເປັນ analogues ທີ່ໄວກວ່າແລະປອດໄພກວ່າຂອງ AES-256-CTR ແລະ HMAC, ການປະຕິບັດຊອບແວທີ່ອະນຸຍາດໃຫ້ບັນລຸເວລາການປະຕິບັດທີ່ຄົງທີ່ໂດຍບໍ່ຕ້ອງໃຊ້ການສະຫນັບສະຫນູນຮາດແວພິເສດ. ເພື່ອສ້າງລະຫັດລັບທີ່ໃຊ້ຮ່ວມກັນ, ເສັ້ນໂຄ້ງຮູບສ້ວຍ Diffie-Hellman protocol ຖືກໃຊ້ໃນການຈັດຕັ້ງປະຕິບັດ. Curve25519, ຍັງສະເຫນີໂດຍ Daniel Bernstein. ສູດການຄິດໄລ່ທີ່ໃຊ້ສໍາລັບການ hashing ແມ່ນ BLAKE2s (RFC7693)".

Результаты ການທົດສອບປະສິດທິພາບ ຈາກເວັບໄຊທ໌ທາງການ:

ແບນວິດ (ເມກາບິດ/ວິ)


ping (ms)

ການ​ຕັ້ງ​ຄ່າ​ການ​ທົດ​ສອບ​:

• Intel Core i7-3820QM ແລະ Intel Core i7-5200U
• ບັດ Gigabit Intel 82579LM ແລະ Intel I218LM
• Linux 4.6.1
• ການຕັ້ງຄ່າ WireGuard: ChaCha20 256-ບິດ ພ້ອມດ້ວຍ Poly1305 ສຳລັບ MAC
• ການຕັ້ງຄ່າ IPsec ທໍາອິດ: 256-bit ChaCha20 ກັບ Poly1305 ສໍາລັບ MAC
• ການຕັ້ງຄ່າ IPsec ທີສອງ: AES-256-GCM-128 (ກັບ AES-NI)
• ການຕັ້ງຄ່າ OpenVPNຊຸດລະຫັດລັບທຽບເທົ່າຂອງ AES 256-ບິດ ພ້ອມດ້ວຍ HMAC-SHA2-256, ໂໝດ UDP
• ການປະຕິບັດໄດ້ຖືກວັດແທກໂດຍໃຊ້ iperf3, ສະແດງໃຫ້ເຫັນຜົນໄດ້ຮັບສະເລ່ຍໃນໄລຍະ 30 ນາທີ.

ໃນທາງທິດສະດີ, ຫຼັງຈາກການເຊື່ອມໂຍງເຂົ້າໃນເຄືອຂ່າຍ stack ແລ້ວ WireGuard ຄວນຈະເຮັດວຽກໄດ້ໄວຂຶ້ນ. ແຕ່ໃນຄວາມເປັນຈິງແລ້ວ, ສິ່ງນີ້ຈະບໍ່ຈຳເປັນຕ້ອງເປັນແນວນັ້ນ ເນື່ອງຈາກການຫັນປ່ຽນໄປສູ່ໜ້າທີ່ການເຂົ້າລະຫັດທີ່ຕິດຕັ້ງມາພ້ອມຂອງ Crypto API. ມັນເປັນໄປໄດ້ວ່າບໍ່ແມ່ນທັງໝົດຂອງພວກມັນຍັງໄດ້ຮັບການປັບປຸງໃຫ້ດີທີ່ສຸດຕາມລະດັບປະສິດທິພາບຂອງລຸ້ນພື້ນເມືອງ. WireGuard.

"ຈາກທັດສະນະຂອງຂ້ອຍ, WireGuard ມັນເໝາະສົມທີ່ສຸດສຳລັບຜູ້ໃຊ້. ການຕັດສິນໃຈລະດັບຕ່ຳທັງໝົດແມ່ນຖືກພິຈາລະນາໃນສະເປັກ, ສະນັ້ນການຕັ້ງຄ່າພື້ນຖານໂຄງລ່າງ VPN ທົ່ວໄປໃຊ້ເວລາພຽງສອງສາມນາທີ. ເກືອບເປັນໄປບໍ່ໄດ້ທີ່ຈະເຮັດໃຫ້ການຕັ້ງຄ່າເສຍຫາຍ. wrote ຢູ່ເມືອງ Habre ໃນປີ 2018. - ຂະ​ບວນ​ການ​ຕິດ​ຕັ້ງ​ ອະທິບາຍລະອຽດ ຢູ່ໃນເວັບໄຊທ໌ທາງການ, ຂ້າພະເຈົ້າຢາກຈະສັງເກດເຫັນແຍກຕ່າງຫາກທີ່ດີເລີດ ສະຫນັບສະຫນູນ OpenWRT. ຄວາມງ່າຍດາຍຂອງການນໍາໃຊ້ແລະຄວາມຫນາແຫນ້ນຂອງພື້ນຖານລະຫັດນີ້ແມ່ນບັນລຸໄດ້ໂດຍການກໍາຈັດການແຈກຢາຍຂອງກະແຈ. ບໍ່ມີລະບົບໃບຢັ້ງຢືນທີ່ຊັບຊ້ອນແລະທຸກສິ່ງທີ່ຫນ້າຢ້ານກົວຂອງບໍລິສັດນີ້ຖືກແຈກຢາຍຫຼາຍເຊັ່ນກະແຈ SSH."

ໂຄງການ WireGuard ໄດ້ພັດທະນາມາຕັ້ງແຕ່ປີ 2015, ມັນໄດ້ຖືກກວດສອບ ແລະ ການຢັ້ງຢືນຢ່າງເປັນທາງການ. ສະຫນັບສະຫນູນ WireGuard ປະສົມປະສານເຂົ້າກັບ NetworkManager ແລະ systemd, ແລະ kernel patches ແມ່ນລວມຢູ່ໃນການແຈກຢາຍພື້ນຖານ Debian ບໍ່ໝັ້ນຄົງ, Mageia, Alpine, Arch, Gentoo, OpenWrt, NixOS, Subgraph ແລະ ALT.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com