VPN WireGuard ໄດ້ຮັບການຍອມຮັບເຂົ້າໃນສາຂາ net-next ແລະ ກຳນົດໃຫ້ລວມຢູ່ໃນຫຼັກ Linux 5.6

David Miller (David S. Miller), ຮັບຜິດຊອບລະບົບຍ່ອຍຂອງເຄືອຂ່າຍ kernel Linux, ຍອມຮັບ ໄປຫາສາຂາຕໍ່ໄປ ເພີ້ມ ດ້ວຍການຈັດຕັ້ງປະຕິບັດການໂຕ້ຕອບ VPN ຈາກໂຄງການ WireGuardໃນຕົ້ນປີໜ້າ, ການປ່ຽນແປງທີ່ສະສົມໄວ້ໃນສາຂາ net-next ຈະເປັນພື້ນຖານຂອງການປ່ອຍຫຼັກ. Linux 5.6​.

ຄວາມພະຍາຍາມທີ່ຈະສົ່ງເສີມລະຫັດ WireGuard ໃນ kernel ຫຼັກ, ຄວາມພະຍາຍາມໄດ້ມີຂຶ້ນໃນໄລຍະສອງສາມປີຜ່ານມາ, ແຕ່ພວກມັນຍັງບໍ່ປະສົບຜົນສໍາເລັດເນື່ອງຈາກການເພິ່ງພາອາໄສການປະຕິບັດທີ່ເປັນເຈົ້າຂອງຂອງຟັງຊັນການເຂົ້າລະຫັດທີ່ຖືກນໍາໃຊ້ເພື່ອປັບປຸງປະສິດທິພາບ. ໃນເບື້ອງຕົ້ນ, ຟັງຊັນເຫຼົ່ານີ້ແມ່ນ ສະເໜີ ສໍາລັບ kernel ເປັນ Zinc API ລະດັບຕ່ໍາເພີ່ມເຕີມ, ເຊິ່ງໃນທີ່ສຸດສາມາດທົດແທນ API Crypto ມາດຕະຖານ.

ຫຼັງຈາກການສົນທະນາໃນກອງປະຊຸມ Kernel Recipes, ຜູ້ສ້າງ WireGuard ໃນເດືອນກັນຍາ ໄດ້ຕັດສິນໃຈປະນີປະນອມ ປ່ຽນແພັດຊ໌ຂອງທ່ານເພື່ອໃຊ້ Crypto API ທີ່ມີຢູ່ໃນແກນກາງ, ເຊິ່ງນັກພັດທະນາສາມາດເຂົ້າເຖິງໄດ້ WireGuard ມີການຮ້ອງຮຽນກ່ຽວກັບປະສິດທິພາບ ແລະ ຄວາມປອດໄພໂດຍລວມ. ໄດ້ມີການຕັດສິນໃຈທີ່ຈະສືບຕໍ່ພັດທະນາ Zinc API, ແຕ່ເປັນໂຄງການແຍກຕ່າງຫາກ.

ໃນເດືອນພະຈິກ, ນັກພັດທະນາ kernel ໄປ ໃນການຕອບສະຫນອງຕໍ່ການປະນີປະນອມແລະຕົກລົງທີ່ຈະໂອນສ່ວນຫນຶ່ງຂອງລະຫັດຈາກສັງກະສີໄປຫາແກ່ນຕົ້ນຕໍ. ໂດຍພື້ນຖານແລ້ວ, ບາງອົງປະກອບສັງກະສີຈະຖືກຍ້າຍເຂົ້າໄປໃນຫຼັກ, ແຕ່ບໍ່ແມ່ນ API ແຍກຕ່າງຫາກ, ແຕ່ເປັນສ່ວນຫນຶ່ງຂອງລະບົບຍ່ອຍ Crypto API. ຕົວຢ່າງ, Crypto API ແລ້ວ ລວມ ກະກຽມໄວ້ໃນ WireGuard ການປະຕິບັດຢ່າງວ່ອງໄວຂອງອັລກໍຣິທຶມ ChaCha20 ແລະ Poly1305.

ກ່ຽວກັບການຈັດສົ່ງທີ່ຈະມາເຖິງ WireGuard ໃນທີມງານຫຼັກ, ຜູ້ກໍ່ຕັ້ງໂຄງການ ປະ​ກາດ ກ່ຽວກັບການປັບໂຄງສ້າງບ່ອນເກັບມ້ຽນຂໍ້ມູນ. ເພື່ອເຮັດໃຫ້ການພັດທະນາງ່າຍຂຶ້ນ, ບ່ອນເກັບມ້ຽນຂໍ້ມູນແບບ monolithic ໄດ້ຖືກທົດແທນດ້ວຍWireGuard.git", ເຊິ່ງຖືກອອກແບບມາໃຫ້ມີຢູ່ແຍກຕ່າງຫາກ, ຈະໄດ້ຮັບບ່ອນເກັບມ້ຽນແຍກຕ່າງຫາກສາມບ່ອນ ເຊິ່ງເໝາະສົມກວ່າສຳລັບການຈັດລະບຽບວຽກງານດ້ວຍລະຫັດໃນແກນຫຼັກ:

• wireguard-linux.git — ຕົ້ນໄມ້ kernel ເຕັມຮູບແບບທີ່ມີການປ່ຽນແປງຈາກໂຄງການ Wireguard, ການແກ້ໄຂຕ່າງໆຈາກນັ້ນຈະຖືກທົບທວນຄືນເພື່ອລວມເຂົ້າໃນຫຼັກ ແລະ ຍ້າຍໄປທີ່ສາຂາ net/net-next ເປັນປະຈຳ.
• wireguard-tools.git - ຄັງເກັບມ້ຽນສໍາລັບຜົນປະໂຫຍດແລະສະຄິບທີ່ດໍາເນີນການຢູ່ໃນພື້ນທີ່ຜູ້ໃຊ້, ເຊັ່ນ wg ແລະ wg-quick. repository ສາມາດຖືກນໍາໃຊ້ເພື່ອສ້າງຊຸດສໍາລັບການແຈກຢາຍ.
• wireguard-linux-compat.git — ບ່ອນເກັບຂໍ້ມູນທີ່ມີລຸ້ນຂອງໂມດູນ, ສົ່ງແຍກຕ່າງຫາກຈາກເຄີເນລ ແລະ ປະກອບມີຊັ້ນ compat.h ເພື່ອຮັບປະກັນຄວາມເຂົ້າກັນໄດ້ກັບເຄີເນລເກົ່າ. ການພັດທະນາຂັ້ນຕົ້ນຈະເກີດຂຶ້ນໃນບ່ອນເກັບຂໍ້ມູນ. wireguard-linux.git, ແຕ່ຕາບໃດທີ່ຍັງມີຄວາມເປັນໄປໄດ້ ແລະ ຄວາມຕ້ອງການຈາກຜູ້ໃຊ້, ເວີຊັນແຍກຕ່າງຫາກຂອງແພັດຊ໌ກໍ່ຈະໄດ້ຮັບການສະໜັບສະໜູນໃນຮູບແບບການເຮັດວຽກ.

ໃຫ້ພວກເຮົາເຕືອນທ່ານວ່າ VPN WireGuard ຈັດຕັ້ງປະຕິບັດໂດຍໃຊ້ວິທີການເຂົ້າລະຫັດທີ່ທັນສະໄໝ, ມັນໃຫ້ປະສິດທິພາບສູງຫຼາຍ, ໃຊ້ງ່າຍ, ບໍ່ມີຄວາມສັບສົນ, ແລະ ໄດ້ພິສູດຕົວເອງໃນການນຳໃຊ້ຂະໜາດໃຫຍ່ຈຳນວນໜຶ່ງທີ່ຈັດການກັບການຈະລາຈອນຈຳນວນຫຼວງຫຼາຍ. ໂຄງການດັ່ງກ່າວໄດ້ພັດທະນາມາຕັ້ງແຕ່ປີ 2015 ແລະ ໄດ້ຮັບການກວດສອບ ແລະ ການຢັ້ງຢືນຢ່າງເປັນທາງການ ວິທີການເຂົ້າລະຫັດທີ່ໃຊ້ແລ້ວ. ສະໜັບສະໜູນ WireGuard ມັນໄດ້ຖືກລວມເຂົ້າກັບ NetworkManager ແລະ systemd ແລ້ວ, ແລະ ການແກ້ໄຂ kernel ແມ່ນລວມຢູ່ໃນການແຈກຢາຍພື້ນຖານ. Debian ບໍ່ ໝັ້ນ ຄົງ, Mageia, Alpine, Arch, Gentoo, OpenWrt, NixOS, ຫົວຂໍ້ຍ່ອຍ и ALT.

В WireGuard ແນວຄວາມຄິດຂອງການກຳນົດເສັ້ນທາງກະແຈເຂົ້າລະຫັດແມ່ນຖືກນໍາໃຊ້, ເຊິ່ງກ່ຽວຂ້ອງກັບການຜູກມັດກະແຈສ່ວນຕົວກັບແຕ່ລະອິນເຕີເຟດເຄືອຂ່າຍ ແລະ ນໍາໃຊ້ມັນສໍາລັບການຜູກມັດກະແຈສາທາລະນະ. ກະແຈສາທາລະນະແມ່ນແລກປ່ຽນເພື່ອສ້າງການເຊື່ອມຕໍ່ໃນລັກສະນະທີ່ຄ້າຍຄືກັນກັບ SSH. ເພື່ອເຈລະຈາກະແຈ ແລະ ສ້າງການເຊື່ອມຕໍ່ໂດຍບໍ່ຕ້ອງໃຊ້ daemon ແຍກຕ່າງຫາກໃນພື້ນທີ່ຜູ້ໃຊ້, ກົນໄກ Noise_IK ຈາກ Noise Protocol Frameworkຄ້າຍຄືກັນກັບການຮັກສາ authorized_keys ໃນ SSH. ການສົ່ງຂໍ້ມູນແມ່ນດໍາເນີນການໂດຍຜ່ານການ encapsulation ໃນຊຸດ UDP. ມັນສະຫນັບສະຫນູນການປ່ຽນແປງທີ່ຢູ່ IP ຂອງເຄື່ອງແມ່ຂ່າຍ VPN (ໂຣມມິງ) ໂດຍບໍ່ມີການຕັດການເຊື່ອມຕໍ່ແລະການຕັ້ງຄ່າລູກຄ້າຄືນໃຫມ່ໂດຍອັດຕະໂນມັດ.

ສໍາລັບການເຂົ້າລະຫັດ ຖືກນໍາໃຊ້ stream cipher ChaCha20 ແລະລະບົບການກວດສອບຂໍ້ຄວາມ (MAC) Poly1305ອອກແບບໂດຍ Daniel Bernstein (Daniel J. Bernstein), Tanya Lange
(Tanja Lange) ແລະ Peter Schwabe. ChaCha20 ແລະ Poly1305 ຖືກຈັດເປັນ analogues ທີ່ໄວກວ່າແລະປອດໄພກວ່າຂອງ AES-256-CTR ແລະ HMAC, ການປະຕິບັດຊອບແວທີ່ອະນຸຍາດໃຫ້ບັນລຸເວລາການປະຕິບັດທີ່ກໍານົດໂດຍບໍ່ມີການນໍາໃຊ້ການສະຫນັບສະຫນູນຮາດແວພິເສດ. ເພື່ອສ້າງລະຫັດລັບທີ່ໃຊ້ຮ່ວມກັນ, ເສັ້ນໂຄ້ງຮູບສ້ວຍ Diffie-Hellman protocol ຖືກໃຊ້ໃນການຈັດຕັ້ງປະຕິບັດ. Curve25519, ຍັງສະເຫນີໂດຍ Daniel Bernstein. ສູດການຄິດໄລ່ທີ່ໃຊ້ສໍາລັບການ hashing ແມ່ນ BLAKE2s (RFC7693).

ທີ່ ການທົດສອບ ຜະລິດຕະພັນ WireGuard ສະແດງໃຫ້ເຫັນຜົນຜະລິດທີ່ສູງກວ່າ 3.9 ເທົ່າ ແລະ ການຕອບສະໜອງສູງກວ່າ 3.8 ເທົ່າ ເມື່ອທຽບກັບ OpenVPN (AES 256 ບິດ ພ້ອມກັບ HMAC-SHA2-256). ເມື່ອທຽບກັບ IPsec (ChaCha20+Poly1305 ແລະ AES-256-GCM-128 256 ບິດ) ໃນ WireGuard ມີຄວາມໄດ້ປຽບດ້ານປະສິດທິພາບເລັກນ້ອຍ (13-18%) ແລະ ການຫຼຸດລົງຂອງຄວາມໜ່ວງເວລາ (21-23%). ການທົດສອບໄດ້ຖືກປະຕິບັດໂດຍໃຊ້ການຈັດຕັ້ງປະຕິບັດຢ່າງວ່ອງໄວຂອງໂຄງການເອງຂອງອັລກໍຣິທຶມການເຂົ້າລະຫັດ; ການປ່ຽນໄປໃຊ້ Crypto API ພື້ນເມືອງຂອງແກນກາງອາດຈະເຮັດໃຫ້ປະສິດທິພາບຫຼຸດລົງ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru