WireGuard ຈະ "ມາ" ກັບ Linux kernel - ເປັນຫຍັງ?

ໃນຕອນທ້າຍຂອງເດືອນກໍລະກົດ, ນັກພັດທະນາຂອງ WireGuard VPN tunnel ສະເຫນີ ຊຸດ patch, ເຊິ່ງຈະເຮັດໃຫ້ຊອບແວ tunneling VPN ຂອງເຂົາເຈົ້າເປັນສ່ວນຫນຶ່ງຂອງ Linux kernel. ຢ່າງໃດກໍຕາມ, ວັນທີທີ່ແນ່ນອນຂອງການປະຕິບັດ "ຄວາມຄິດ" ຍັງບໍ່ຮູ້ຈັກ. ຂ້າງລຸ່ມນີ້ການຕັດພວກເຮົາຈະເວົ້າກ່ຽວກັບເຄື່ອງມືນີ້ໃນລາຍລະອຽດເພີ່ມເຕີມ.

/ ຮູບ Tambako The Jaguar CC

ໂດຍຫຍໍ້ກ່ຽວກັບໂຄງການ

WireGuard ເປັນອຸໂມງ VPN ຮຸ່ນຕໍ່ໄປທີ່ສ້າງຂຶ້ນໂດຍ Jason A. Donenfeld, CEO ຂອງ Edge Security. ໂຄງການດັ່ງກ່າວໄດ້ຖືກພັດທະນາເປັນ ງ່າຍດາຍ ແລະເປັນທາງເລືອກທີ່ໄວໃຫ້ກັບ OpenVPN ແລະ IPsec. ຮຸ່ນທໍາອິດຂອງຜະລິດຕະພັນມີພຽງແຕ່ 4 ພັນເສັ້ນຂອງລະຫັດ. ສໍາລັບການປຽບທຽບ, OpenVPN ມີປະມານ 120 ພັນສາຍ, ແລະ IPSec - 420 ພັນ.

ໂດຍ ອີງຕາມ ນັກພັດທະນາ, WireGuard ແມ່ນງ່າຍທີ່ຈະຕັ້ງຄ່າແລະຄວາມປອດໄພຂອງໂປໂຕຄອນແມ່ນບັນລຸໄດ້ ຜ່ານລະບົບການເຂົ້າລະຫັດລັບທີ່ພິສູດແລ້ວ. ເມື່ອປ່ຽນເຄືອຂ່າຍ: Wi-Fi, LTE ຫຼື Ethernet ຕ້ອງເຊື່ອມຕໍ່ຄືນໃໝ່ກັບເຊີບເວີ VPN ທຸກໆຄັ້ງ. ເຊີບເວີ WireGuard ບໍ່ຢຸດການເຊື່ອມຕໍ່, ເຖິງແມ່ນວ່າຜູ້ໃຊ້ໄດ້ຮັບທີ່ຢູ່ IP ໃຫມ່.

ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າ WireGuard ໄດ້ຖືກອອກແບບໃນເບື້ອງຕົ້ນສໍາລັບ Linux kernel, ຜູ້ພັດທະນາ ໄດ້​ຮັບ​ການ​ດູ​ແລ​ຂອງ​ ແລະ​ກ່ຽວ​ກັບ​ສະ​ບັບ Portable ຂອງ​ເຄື່ອງ​ມື​ສໍາ​ລັບ​ອຸ​ປະ​ກອນ Android​. ແອັບພລິເຄຊັ່ນຍັງບໍ່ທັນໄດ້ພັດທະນາສົມບູນເທື່ອ, ແຕ່ເຈົ້າສາມາດລອງໃຊ້ມັນໄດ້ດຽວນີ້. ສໍາລັບການນີ້ທ່ານຕ້ອງການ ກາຍ​ເປັນ​ຫນຶ່ງ​ໃນ​ການ​ທົດ​ສອບ​ໄດ້​.

ໂດຍທົ່ວໄປ, WireGuard ແມ່ນຂ້ອນຂ້າງເປັນທີ່ນິຍົມແລະເຖິງແມ່ນວ່າໄດ້ ປະຕິບັດ ຜູ້ໃຫ້ບໍລິການ VPN ຈໍານວນຫນຶ່ງ, ເຊັ່ນ Mullvad ແລະ AzireVPN. ຈັດພີມມາອອນໄລນ໌ ຈໍານວນໃຫຍ່ ຄູ່ມືການຕິດຕັ້ງ ການຕັດສິນໃຈນີ້. ຍົກ​ຕົວ​ຢ່າງ, ມີຄູ່ມື, ທີ່​ສ້າງ​ໂດຍ​ຜູ້​ຊົມ​ໃຊ້​, ແລະ​ມີ​ຄູ່​ມື​, ກະກຽມໂດຍຜູ້ຂຽນຂອງໂຄງການ.

ລາຍລະອຽດດ້ານວິຊາການ

В ເອກະສານທາງການ (ໜ້າ 18) ສັງເກດວ່າການສົ່ງຜ່ານຂອງ WireGuard ແມ່ນສູງກວ່າ OpenVPN 1011 ເທົ່າ: 258 Mbit/s ທຽບກັບ 881 Mbit/s, ຕາມລໍາດັບ. WireGuard ຍັງຢູ່ຂ້າງຫນ້າຂອງການແກ້ໄຂມາດຕະຖານສໍາລັບ Linux IPsec - ມັນມີ XNUMX Mbit / s. ມັນຍັງ surpasses ມັນງ່າຍໃນການຕິດຕັ້ງ.

ຫຼັງຈາກການແລກປ່ຽນກະແຈ (ການເຊື່ອມຕໍ່ VPN ແມ່ນເລີ່ມຕົ້ນຄືກັບ SSH) ແລະການເຊື່ອມຕໍ່ໄດ້ຖືກສ້າງຕັ້ງຂຶ້ນ, WireGuard ຈັດການວຽກງານອື່ນໆທັງຫມົດດ້ວຍຕົວມັນເອງ: ບໍ່ຈໍາເປັນຕ້ອງກັງວົນກ່ຽວກັບການກໍານົດເສັ້ນທາງ, ການຄວບຄຸມລັດ, ແລະອື່ນໆ. ຄວາມພະຍາຍາມໃນການຕັ້ງຄ່າເພີ່ມເຕີມຈະມີພຽງແຕ່. ຕ້ອງການຖ້າທ່ານຕ້ອງການໃຊ້ການເຂົ້າລະຫັດແບບ symmetric.

/ ຮູບ Anders Hojbjerg CC

ເພື່ອຕິດຕັ້ງ, ທ່ານຈະຕ້ອງການແຈກຢາຍກັບ Linux kernel ທີ່ເກົ່າກວ່າ 4.1. ມັນສາມາດພົບເຫັນຢູ່ໃນບ່ອນເກັບມ້ຽນຂອງການແຈກຢາຍ Linux ທີ່ສໍາຄັນ.

$ sudo add-apt-repository ppa:hda-me/wireguard
$ sudo apt update
$ sudo apt install wireguard-dkms wireguard-tools

ໃນຖານະເປັນບັນນາທິການຂອງ xakep.ru ຫມາຍເຫດ, ການປະກອບດ້ວຍຕົນເອງຈາກບົດເລື່ອງແຫຼ່ງແມ່ນຍັງງ່າຍ. ມັນພຽງພໍທີ່ຈະເປີດການໂຕ້ຕອບແລະສ້າງລະຫັດສາທາລະນະແລະສ່ວນຕົວ:

$ sudo ip link add dev wg0 type wireguard
$ wg genkey | tee privatekey | wg pubkey > publickey

WireGuard ບໍ່ໄດ້ໃຊ້ ການໂຕ້ຕອບສໍາລັບການເຮັດວຽກກັບຜູ້ໃຫ້ບໍລິການ crypto CryptoAPI. ແທນທີ່ຈະ, cipher stream ຖືກນໍາໃຊ້ ChaCha20, cryptographic imitation ໃສ່ Poly1305 ແລະຟັງຊັນ hash cryptographic ທີ່ເປັນເຈົ້າຂອງ.

ລະຫັດລັບແມ່ນສ້າງຂຶ້ນໂດຍໃຊ້ ອະນຸສັນຍາ Diffie-Hellman ອີງໃສ່ເສັ້ນໂຄ້ງ elliptic Curve25519. ເມື່ອ hashing, ພວກເຂົາໃຊ້ ຟັງຊັນ hash BLAKE2 и SipHash. ເນື່ອງຈາກຮູບແບບເວລາ TAI64N ໂປຣໂຕຄໍຈະຍົກເລີກແພັກເກັດທີ່ມີຄ່າເວລາໜ້ອຍລົງ, ດ້ວຍເຫດນີ້ ການ​ປ້ອງ​ກັນ DoS- и ໂຈມຕີຄືນ.

ໃນກໍລະນີນີ້, WireGuard ໃຊ້ຟັງຊັນ ioctl ເພື່ອຄວບຄຸມ I/O (ໃຊ້ໃນເມື່ອກ່ອນ netlink), ເຊິ່ງເຮັດໃຫ້ລະຫັດສະອາດແລະງ່າຍດາຍ. ທ່ານສາມາດກວດສອບນີ້ໂດຍການເບິ່ງ ລະ​ຫັດ​ການ​ຕັ້ງ​ຄ່າ​.

ແຜນພັດທະນາ

ສຳລັບຕອນນີ້, WireGuard ແມ່ນໂມດູນແກ່ນແກ່ນທີ່ຢູ່ນອກຕົ້ນໄມ້. ແຕ່ຜູ້ຂຽນຂອງໂຄງການແມ່ນ Jason Donenfeld ເວົ້າວ່າ, ວ່າເວລາໄດ້ມາເຖິງສໍາລັບການປະຕິບັດຢ່າງເຕັມທີ່ໃນ Linux kernel. ເນື່ອງຈາກວ່າມັນແມ່ນງ່າຍດາຍແລະເຊື່ອຖືໄດ້ຫຼາຍກ່ວາວິທີແກ້ໄຂອື່ນໆ. Jason ໃນເລື່ອງນີ້ ສະຫນັບສະຫນູນ ເຖິງແມ່ນວ່າ Linus Torvalds ຕົນເອງເອີ້ນວ່າລະຫັດ WireGuard ເປັນ "ວຽກງານສິລະປະ."

ແຕ່ບໍ່ມີໃຜເວົ້າກ່ຽວກັບວັນທີທີ່ແນ່ນອນສໍາລັບການນໍາ WireGuard ເຂົ້າໄປໃນ kernel. ແລະ ເກືອບບໍ່ ນີ້ຈະເກີດຂຶ້ນກັບການເປີດຕົວຂອງ August Linux kernel 4.18. ຢ່າງໃດກໍ່ຕາມ, ມີຄວາມເປັນໄປໄດ້ທີ່ຈະເກີດຂຶ້ນໃນອະນາຄົດອັນໃກ້ນີ້: ໃນຮຸ່ນ 4.19 ຫຼື 5.0.

ເມື່ອ WireGuard ຖືກເພີ່ມໃສ່ kernel, ນັກພັດທະນາ ຕ້ອງການ ສໍາເລັດຄໍາຮ້ອງສະຫມັກສໍາລັບອຸປະກອນ Android ແລະເລີ່ມຕົ້ນຂຽນຄໍາຮ້ອງສະຫມັກສໍາລັບ iOS. ຍັງມີແຜນທີ່ຈະເຮັດສຳເລັດການຈັດຕັ້ງປະຕິບັດໃນ Go ແລະ Rust ແລະສົ່ງພວກມັນໄປທີ່ macOS, Windows ແລະ BSD. ມັນຍັງໄດ້ມີການວາງແຜນທີ່ຈະປະຕິບັດ WireGuard ສໍາລັບ "ລະບົບ exotic" ຫຼາຍ: DPDK, FPGA, ເຊັ່ນດຽວກັນກັບສິ່ງທີ່ຫນ້າສົນໃຈອື່ນໆຈໍານວນຫຼາຍ. ທັງຫມົດຂອງພວກເຂົາຖືກລະບຸໄວ້ໃນ ລາຍການທີ່ຕ້ອງເຮັດ ຜູ້ຂຽນຂອງໂຄງການ.

PS ອີກສອງສາມບົດຄວາມຈາກ blog ຂອງບໍລິສັດຂອງພວກເຮົາ:

• ເຕັກໂນໂລຢີຟັງໃນຂະແຫນງການເງິນ: ປະສົບການຂອງບໍລິສັດລັດເຊຍ
• ການທົດສອບລະບົບດິສກ໌ໃນຄລາວ
• ສິ່ງທີ່ເຊື່ອງໄວ້ທາງຫລັງຂອງຄໍາສັບ vCloud Director - ເບິ່ງພາຍໃນ

ທິດທາງຕົ້ນຕໍຂອງກິດຈະກໍາຂອງພວກເຮົາແມ່ນການບໍລິການຄລາວ:

ໂຄງສ້າງພື້ນຖານສະເໝືອນ (IaaS) | PCI DSS hosting | Cloud FZ-152 | SAP hosting | ບ່ອນຈັດເກັບຂໍ້ມູນສະເໝືອນ | ການເຂົ້າລະຫັດຂໍ້ມູນໃນຄລາວ | ບ່ອນຈັດເກັບຂໍ້ມູນຄລາວ

ແຫຼ່ງຂໍ້ມູນ: www.habr.com