ProHoster > Š‘Š»Š¾Š³ > Administrācija > Kāpēc nevajadzētu izmantot WireGuard

Kāpēc nevajadzētu izmantot WireGuard

WireGuard pēdējā laikā ir ieguvis lielu uzmanÄ«bu, patiesÄ«bā tā ir jaunā zvaigzne starp VPN. Bet vai viņŔ ir tik labs, kā Ŕķiet? Es vēlētos apspriest dažus novērojumus un pārskatÄ«t WireGuard ievieÅ”anu, lai izskaidrotu, kāpēc tas nav risinājums, lai aizstātu IPsec vai OpenVPN.

Å ajā rakstā es vēlētos atspēkot dažus mÄ«tus [ap WireGuard]. Jā, lasÄ«Å”anai bÅ«s vajadzÄ«gs ilgs laiks, tāpēc, ja neesi sev pagatavojis tasi tējas vai kafijas, tad ir pienācis laiks to izdarÄ«t. Vēlos pateikties arÄ« Pēterim par manu haotisko domu laboÅ”anu.

Es neizvirzu sev mērÄ·i diskreditēt WireGuard izstrādātājus, devalvēt viņu centienus vai idejas. Viņu produkts darbojas, bet personÄ«gi es domāju, ka tas tiek pasniegts pilnÄ«gi savādāk nekā tas ir patiesÄ«bā - tas tiek pasniegts kā IPsec un OpenVPN aizstājējs, kura patiesÄ«bā tagad vienkārÅ”i nav.

Kā piezÄ«mi vēlos piebilst, ka atbildÄ«ba par Ŕādu WireGuard pozicionÄ“Å”anu gulstas uz medijiem, kas par to runāja, nevis paÅ”am projektam vai tā veidotājiem.

Pēdējā laikā nav bijis daudz labu ziņu par Linux kodolu. Tātad, mums tika stāstÄ«ts par zvērÄ«gajiem procesora ievainojamÄ«bām, kuras izlÄ«dzināja programmatÅ«ra, un Linuss Torvalds par to runāja pārāk rupji un garlaicÄ«gi, izstrādātāja utilitārajā valodā. Plānotājs vai nulles lÄ«meņa tÄ«kla kaudze arÄ« nav ļoti skaidra tēma glancētajiem žurnāliem. Un Å”eit nāk WireGuard.

Uz papīra tas viss izklausās lieliski: aizraujoŔa jauna tehnoloģija.

Bet paskatīsimies uz to nedaudz tuvāk.

WireGuard balts papīrs

Å is raksts ir balstÄ«ts uz oficiālā WireGuard dokumentācijarakstÄ«jis Džeisons Donenfelds. Tur viņŔ izskaidro [WireGuard] koncepciju, mērÄ·i un tehnisko ievieÅ”anu Linux kodolā.

Pirmais teikums skan:

WireGuard [ā€¦] mērÄ·is ir aizstāt gan IPsec vairumā lietoÅ”anas gadÄ«jumu, gan citus populārus lietotāja telpas un/vai TLS risinājumus, piemēram, OpenVPN, vienlaikus nodroÅ”inot lielāku droŔību, veiktspēju un vienkārŔāku lietoÅ”anu [rÄ«ks].

Protams, visu jauno tehnoloÄ£iju galvenā priekÅ”rocÄ«ba ir to vienkārŔība [salÄ«dzinot ar priekÅ”gājējiem]. Bet arÄ« VPN vajadzētu bÅ«t efektÄ«va un droÅ”a.

Tātad, kas būs tālāk?

Ja sakāt, ka tas nav tas, kas jums nepiecieÅ”ams [no VPN], varat beigt lasÄ«Å”anu Å”eit. Tomēr atzÄ«mÄ“Å”u, ka Ŕādi uzdevumi tiek izvirzÄ«ti jebkurai citai tunelÄ“Å”anas tehnoloÄ£ijai.

Visinteresantākais no iepriekÅ” minētā citāta slēpjas vārdos "lielākajā daļā gadÄ«jumu", kurus prese, protams, ignorēja. Un tā, esam tur, kur nonācām Ŕīs nolaidÄ«bas radÄ«tā haosa dēļ ā€“ Å”ajā rakstā.

Kāpēc nevajadzētu izmantot WireGuard

Vai WireGuard aizstās manu [IPsec] vietņu-vietņu VPN?

Nē. VienkārÅ”i nav iespēju, ka lielie pārdevēji, piemēram, Cisco, Juniper un citi, iegādāsies WireGuard saviem produktiem. Viņi "nelec uz garāmbraucoÅ”iem vilcieniem" kustÄ«bā, ja vien nav lielas vajadzÄ«bas to darÄ«t. Vēlāk es apskatÄ«Å”u dažus iemeslus, kāpēc viņi, iespējams, nevarēs iegÅ«t savus WireGuard produktus, pat ja viņi to vēlētos.

Vai WireGuard nogādās manu RoadWarrior no mana klēpjdatora uz datu centru?

Nē. PaÅ”laik WireGuard nav ieviests liels skaits svarÄ«gu funkciju, lai tas varētu paveikt kaut ko lÄ«dzÄ«gu. Piemēram, tas nevar izmantot dinamiskas IP adreses tuneļa servera pusē, un tas vien izjauc visu Ŕāda produkta izmantoÅ”anas scenāriju.

IPFire bieži izmanto lētām interneta saitēm, piemēram, DSL vai kabeļa savienojumiem. Tas ir jēga maziem vai vidējiem uzņēmumiem, kuriem nav nepiecieÅ”ama ātrā Ŕķiedra. [PiezÄ«me no tulka: neaizmirstiet, ka komunikācijas ziņā Krievija un dažas NVS valstis ir tālu priekŔā Eiropai un ASV, jo mēs sākām veidot savus tÄ«klus daudz vēlāk un lÄ«dz ar Ethernet un optisko Ŕķiedru tÄ«klu parādÄ«Å”anos. standarta, mums bija vieglāk atjaunot. Tajās paŔās ES vai ASV valstÄ«s xDSL platjoslas piekļuve ar ātrumu 3-5 Mb/s joprojām ir vispārēja norma, un optiskās Ŕķiedras pieslēgums maksā pēc mÅ«su standartiem nereālu naudu. Tāpēc raksta autore runā par DSL jeb kabeļa savienojumu kā normu, nevis seniem laikiem.] Tomēr DSL, kabeli, LTE (un citām bezvadu piekļuves metodēm) ir dinamiskas IP adreses. Protams, dažreiz tie nemainās bieži, bet mainās.

Ir apakÅ”projekts ar nosaukumu "wg-dynamic", kas pievieno lietotāja telpas dēmonu, lai novērstu Å”o trÅ«kumu. MilzÄ«ga problēma iepriekÅ” aprakstÄ«tajā lietotāja scenārijā ir dinamiskās IPv6 adresācijas saasināŔanās.

No izplatÄ«tāja viedokļa tas viss arÄ« neizskatās Ä«paÅ”i labi. Viens no dizaina mērÄ·iem bija saglabāt protokolu vienkārÅ”u un tÄ«ru.

Diemžēl tas viss ir kļuvis pārāk vienkārÅ”i un primitÄ«vi, tāpēc mums ir jāizmanto papildu programmatÅ«ra, lai viss Å”is dizains bÅ«tu dzÄ«votspējÄ«gs reālajā lietoÅ”anā.

Vai WireGuard ir tik vienkārŔi lietojams?

Vēl nē. Es nesaku, ka WireGuard nekad nebÅ«s laba alternatÄ«va tunelÄ“Å”anai starp diviem punktiem, taču pagaidām tā ir tikai produkta alfa versija, kādai tai ir jābÅ«t.

Bet ko tad viņŔ patiesÄ«bā dara? Vai tieŔām IPsec ir daudz grÅ«tāk uzturēt?

Acīmredzot nē. IPsec pārdevējs par to ir domājis un piegādā savu produktu kopā ar interfeisu, piemēram, ar IPFire.

Lai iestatÄ«tu VPN tuneli, izmantojot IPsec, jums bÅ«s nepiecieÅ”amas piecas datu kopas, kas jāievada konfigurācijā: jÅ«su publiskā IP adrese, saņēmējas puses publiskā IP adrese, apakÅ”tÄ«kli, kurus vēlaties publiskot. Å”is VPN savienojums un iepriekÅ” koplietotā atslēga. Tādējādi VPN tiek iestatÄ«ts dažu minÅ«Å”u laikā un ir saderÄ«gs ar jebkuru pārdevēju.

Diemžēl Å”im stāstam ir daži izņēmumi. Ikviens, kurÅ” ir mēģinājis pāriet caur IPsec uz OpenBSD maŔīnu, zina, par ko es runāju. Ir vēl pāris sāpÄ«gi piemēri, bet patiesÄ«bā IPsec izmantoÅ”anai ir daudz, daudz vairāk labas prakses.

Par protokola sarežģītību

Galalietotājam nav jāuztraucas par protokola sarežģītību.

Ja mēs dzÄ«votu pasaulē, kur tas bÅ«tu patiess lietotāja rÅ«pes, tad mēs bÅ«tu atbrÄ«vojuÅ”ies no SIP, H.323, FTP un citiem protokoliem, kas izveidoti pirms vairāk nekā desmit gadiem un kas nedarbojas labi ar NAT.

Ir iemesli, kāpēc IPsec ir sarežģītāks par WireGuard: tas veic daudz vairāk lietu. Piemēram, lietotāja autentifikācija, izmantojot pieteikumvārdu / paroli vai SIM karti ar EAP. Tam ir paplaÅ”ināta iespēja pievienot jaunu kriptogrāfijas primitÄ«vi.

Un WireGuard tā nav.

Un tas nozīmē, ka WireGuard kādā brīdī salūzīs, jo kāds no kriptogrāfijas primitīviem vājināsies vai tiks pilnībā kompromitēts. Tehniskās dokumentācijas autors saka:

Ir vērts atzÄ«mēt, ka WireGuard ir kriptogrāfiski izteikts viedoklis. Tam apzināti trÅ«kst Å”ifru un protokolu elastÄ«bas. Ja pamatā esoÅ”ajos primitÄ«vos tiek atrasti nopietni caurumi, bÅ«s jāatjaunina visi galapunkti. Kā redzams no pastāvÄ«gās SLL/TLS ievainojamÄ«bu straumes, Å”ifrÄ“Å”anas elastÄ«ba tagad ir ārkārtÄ«gi palielinājusies.

Pēdējais teikums ir pilnīgi pareizs.

Panākot vienprātÄ«bu par to, kādu Å”ifrÄ“Å”anu izmantot, tiek izveidoti tādi protokoli kā IKE un TLS vairāk komplekss. Pārāk sarežģīti? Jā, ievainojamÄ«bas TLS/SSL ir diezgan izplatÄ«tas, un tām nav alternatÄ«vas.

Par reālu problēmu ignorÄ“Å”anu

Iedomājieties, ka jums ir VPN serveris ar 200 kaujas klientiem visā pasaulē. Å is ir diezgan standarta lietoÅ”anas gadÄ«jums. Ja jums ir jāmaina Å”ifrÄ“Å”ana, jums ir jāpiegādā atjauninājums uz visām WireGuard kopijām Å”ajos klēpjdatoros, viedtālruņos un tā tālāk. VienlaicÄ«gi piegādāt. Tas ir burtiski neiespējami. Administratoriem, kas mēģina to izdarÄ«t, bÅ«s nepiecieÅ”ami mēneÅ”i, lai izvietotu vajadzÄ«gās konfigurācijas, un burtiski vidēji lielam uzņēmumam bÅ«s vajadzÄ«gi gadi, lai Ä«stenotu Ŕādu notikumu.

IPsec un OpenVPN piedāvā Å”ifrÄ“Å”anas sarunu funkciju. Tāpēc kādu laiku, pēc kura ieslēdzat jauno Å”ifrÄ“Å”anu, darbosies arÄ« vecā. Tas ļaus paÅ”reizējiem klientiem jaunināt uz jauno versiju. Kad atjauninājums ir izlaists, jÅ«s vienkārÅ”i izslēdzat ievainojamo Å”ifrÄ“Å”anu. Un tas arÄ« viss! Gatavs! tu esi skaista! Klienti to pat nepamanÄ«s.

Tas patiesÄ«bā ir ļoti izplatÄ«ts gadÄ«jums lielām izvietoÅ”anām, un pat OpenVPN ar to ir dažas grÅ«tÄ«bas. Atgriezeniskā saderÄ«ba ir svarÄ«ga, un, lai gan izmantojat vājāku Å”ifrÄ“Å”anu, daudziem tas nav iemesls uzņēmuma slēgÅ”anai. Jo tas paralizēs simtiem klientu darbu, jo nespēj veikt savu darbu.

WireGuard komanda ir padarÄ«jusi savu protokolu vienkārŔāku, taču pilnÄ«gi nelietojamu cilvēkiem, kuriem nav pastāvÄ«gas kontroles pār abiem vienaudžiem savā tunelÄ«. Pēc manas pieredzes Å”is ir visizplatÄ«tākais scenārijs.

Kāpēc nevajadzētu izmantot WireGuard

Kriptogrāfija!

Bet kāda ir Ŕī interesantā jaunā Å”ifrÄ“Å”ana, ko izmanto WireGuard?

WireGuard izmanto Curve25519 atslēgu apmaiņai, ChaCha20 Å”ifrÄ“Å”anai un Poly1305 datu autentifikācijai. Tas darbojas arÄ« ar SipHash jaukÅ”anas taustiņiem un BLAKE2 jaukÅ”anai.

ChaCha20-Poly1305 ir standartizēts IPsec un OpenVPN (izmantojot TLS).

Ir acÄ«mredzams, ka Daniela Bernsteina attÄ«stÄ«ba tiek izmantota ļoti bieži. BLAKE2 ir BLAKE pēctecis, SHA-3 finālists, kurÅ” neuzvarēja tā lÄ«dzÄ«bas dēļ ar SHA-2. Ja SHA-2 tiktu bojāts, pastāv liela iespēja, ka arÄ« BLAKE tiks apdraudēta.

IPsec un OpenVPN to dizaina dēļ nav nepiecieÅ”ams SipHash. Tātad vienÄ«gais, ko paÅ”laik nevar izmantot kopā ar tiem, ir BLAKE2, un tas ir tikai lÄ«dz brÄ«dim, kad tas tiek standartizēts. Tas nav liels trÅ«kums, jo VPN integritātes izveidoÅ”anai izmanto HMAC, kas tiek uzskatÄ«ts par spēcÄ«gu risinājumu pat kopā ar MD5.

Tāpēc es nonācu pie secinājuma, ka gandrÄ«z vienāds kriptogrāfijas rÄ«ku komplekts tiek izmantots visos VPN. Tāpēc WireGuard nav vairāk vai mazāk droÅ”s par jebkuru citu paÅ”reizējo produktu attiecÄ«bā uz Å”ifrÄ“Å”anu vai pārsÅ«tÄ«to datu integritāti.

Bet pat tas nav vissvarīgākais, kam ir vērts pievērst uzmanību saskaņā ar projekta oficiālo dokumentāciju. Galu galā galvenais ir ātrums.

Vai WireGuard ir ātrāks par citiem VPN risinājumiem?

ÄŖsāk sakot: nē, ne ātrāk.

ChaCha20 ir straumes Å”ifrs, ko ir vieglāk ieviest programmatÅ«rā. Tas Å”ifrē pa vienam bitam. Bloku protokoli, piemēram, AES, vienlaikus Å”ifrē bloku par 128 bitiem. AparatÅ«ras atbalsta ievieÅ”anai ir nepiecieÅ”ams daudz vairāk tranzistoru, tāpēc lielākiem procesoriem ir AES-NI ā€” instrukciju kopas paplaÅ”inājums, kas veic dažus Å”ifrÄ“Å”anas procesa uzdevumus, lai to paātrinātu.

Bija paredzēts, ka AES-NI nekad nenokļūs viedtālruņos [bet tas notika - apm. per.]. Å im nolÅ«kam ChaCha20 tika izstrādāts kā viegla, akumulatoru taupoÅ”a alternatÄ«va. Tāpēc jums var bÅ«t jaunums, ka katram viedtālrunim, kuru varat iegādāties Å”odien, ir sava veida AES paātrinājums un tas darbojas ātrāk un ar mazāku enerÄ£ijas patēriņu ar Å”o Å”ifrÄ“Å”anu nekā ar ChaCha20.

Acīmredzot gandrīz katram pēdējo pāris gadu laikā iegādātajam galddatoru/servera procesoram ir AES-NI.

Tāpēc es sagaidu, ka AES pārsniegs ChaCha20 katrā scenārijā. WireGuard oficiālajā dokumentācijā minēts, ka ar AVX512 ChaCha20-Poly1305 pārspēs AES-NI, taču Å”is instrukciju kopas paplaÅ”inājums bÅ«s pieejams tikai lielākiem CPU, kas atkal nepalÄ«dzēs ar mazāku un mobilāku aparatÅ«ru, kas vienmēr bÅ«s ātrāka ar AES. - N.I.

Es neesmu pārliecināts, vai to varēja paredzēt WireGuard izstrādes laikā, taču Å”odien tas, ka tas ir pienaglots tikai ar Å”ifrÄ“Å”anu, jau ir trÅ«kums, kas var neietekmēt tā darbÄ«bu.

IPsec ļauj brÄ«vi izvēlēties, kura Å”ifrÄ“Å”ana ir vislabākā jÅ«su gadÄ«jumam. Un, protams, tas ir nepiecieÅ”ams, ja, piemēram, vēlaties pārsÅ«tÄ«t 10 vai vairāk gigabaitus datu, izmantojot VPN savienojumu.

Integrācijas problēmas operētājsistēmā Linux

Lai gan WireGuard ir izvēlējies modernu Å”ifrÄ“Å”anas protokolu, tas jau tagad rada daudz problēmu. Tā vietā, lai izmantotu to, ko atbalsta kodols jau no kastes, WireGuard integrācija ir aizkavējusies gadiem ilgi, jo Linux trÅ«kst Å”o primitÄ«vu.

Es neesmu pilnÄ«gi pārliecināts, kāda ir situācija citās operētājsistēmās, taču, iespējams, tā daudz neatŔķiras no Linux.

Kā izskatās realitāte?

Diemžēl ikreiz, kad klients lÅ«dz man izveidot viņam VPN savienojumu, es saskaros ar problēmu, ka viņi izmanto novecojuÅ”us akreditācijas datus un Å”ifrÄ“Å”anu. 3DES kopā ar MD5 joprojām ir izplatÄ«ta prakse, tāpat kā AES-256 un SHA1. Un, lai gan pēdējais ir nedaudz labāks, tas nav kaut kas, ko vajadzētu izmantot 2020. gadā.

Atslēgu maiņai vienmēr Tiek izmantots RSA - lēns, bet diezgan droÅ”s rÄ«ks.

Mani klienti ir saistÄ«ti ar muitas iestādēm un citām valsts organizācijām un iestādēm, kā arÄ« ar lielajām korporācijām, kuru vārdi ir zināmi visā pasaulē. Viņi visi izmanto pieprasÄ«juma veidlapu, kas tika izveidota pirms gadu desmitiem, un iespēja izmantot SHA-512 vienkārÅ”i netika pievienota. Es nevaru teikt, ka tas kaut kā skaidri ietekmē tehnoloÄ£isko progresu, bet acÄ«mredzot tas bremzē korporatÄ«vo procesu.

Man ir sāpÄ«gi to redzēt, jo IPsec jau kopÅ” 2005. gada atbalsta eliptiskās lÄ«knes. Curve25519 ir arÄ« jaunāks un pieejams lietoÅ”anai. Ir arÄ« AES alternatÄ«vas, piemēram, Camellia un ChaCha20, taču acÄ«mredzot ne visas no tām atbalsta lielie pārdevēji, piemēram, Cisco un citi.

Un cilvēki to izmanto. Ir daudz Cisco komplektu, ir daudz komplektu, kas paredzēti darbam ar Cisco. Viņi ir tirgus lÄ«deri Å”ajā segmentā un nav Ä«paÅ”i ieinteresēti nekāda veida inovācijās.

Jā, situācija [korporatÄ«vajā segmentā] ir Å”ausmÄ«ga, taču WireGuard dēļ nekādas izmaiņas neredzēsim. Pārdevēji, iespējams, nekad neredzēs veiktspējas problēmas ar rÄ«kiem un Å”ifrÄ“Å”anu, ko viņi jau izmanto, neredzēs nekādas problēmas ar IKEv2, un tāpēc viņi nemeklē alternatÄ«vas.

Vispār, vai esat kādreiz domājis par atteikŔanos no Cisco?

Etaloni

Un tagad pāriesim pie etaloniem no WireGuard dokumentācijas. Lai gan Ŕī [dokumentācija] nav zinātnisks raksts, es tomēr gaidÄ«ju, ka izstrādātāji izmantos zinātniskāku pieeju vai izmantos zinātnisku pieeju kā atsauci. Jebkuri etaloni ir bezjēdzÄ«gi, ja tos nevar reproducēt, un vēl jo vairāk bezjēdzÄ«gi, ja tie tiek iegÅ«ti laboratorijā.

WireGuard Linux versijā tas izmanto GSO ā€” vispārējās segmentācijas izkrauÅ”anas priekÅ”rocÄ«bas. Pateicoties viņam, klients izveido milzÄ«gu 64 kilobaitu paketi un Å”ifrē / atÅ”ifrē to vienā piegājienā. Tādējādi tiek samazinātas kriptogrāfijas operāciju izsaukÅ”anas un ievieÅ”anas izmaksas. Ja vēlaties maksimāli palielināt VPN savienojuma caurlaidspēju, Ŕī ir laba ideja.

Bet, kā parasti, realitāte nav tik vienkārÅ”a. Lai nosÅ«tÄ«tu tik lielu paketi uz tÄ«kla adapteri, tā ir jāsagriež daudzās mazākās paketēs. Parastais sÅ«tÄ«Å”anas lielums ir 1500 baiti. Tas ir, mÅ«su 64 kilobaitu milzis tiks sadalÄ«ts 45 paketēs (1240 baiti informācijas un 20 baiti IP galvenes). Tad viņi kādu laiku pilnÄ«bā bloķēs tÄ«kla adaptera darbu, jo tie ir jānosÅ«ta kopā un uzreiz. Rezultātā tas novedÄ«s pie prioritātes lēciena, un paketes, piemēram, VoIP, tiks ievietotas rindā.

Tādējādi WireGuard tik drosmÄ«gi apgalvotā augstā caurlaidspēja tiek sasniegta uz citu lietojumprogrammu tÄ«kla palēnināŔanas rēķina. Un WireGuard komanda jau ir apstiprināja tāds ir mans secinājums.

Bet ejam tālāk.

Saskaņā ar tehniskajā dokumentācijā norādītajiem etaloniem savienojuma caurlaidspēja ir 1011 Mbps.

Iespaidīgi.

Tas ir Ä«paÅ”i iespaidÄ«gi tādēļ, ka viena Gigabit Ethernet savienojuma maksimālā teorētiskā caurlaidspēja ir 966 Mb/s ar paketes lielumu 1500 baiti mÄ«nus 20 baiti IP galvenei, 8 baiti UDP galvenei un 16 baiti galvenei. pats WireGuard. Iekapsulētajā paketē ir vēl viena IP galvene un vēl viena TCP 20 baitiem. Tātad, no kurienes radās Å”is papildu joslas platums?

Ar milzÄ«giem kadriem un GSO priekÅ”rocÄ«bām, par kurām mēs runājām iepriekÅ”, teorētiskais maksimums kadra izmēram 9000 baiti bÅ«tu 1014 Mbps. Parasti Ŕāda caurlaidspēja patiesÄ«bā ir nesasniedzama, jo ir saistÄ«ta ar lielām grÅ«tÄ«bām. LÄ«dz ar to varu tikai pieņemt, ka tests tika veikts, izmantojot vēl treknākus 64 kilobaitu lielizmēra kadrus ar teorētisko maksimumu 1023 Mb/s, ko atbalsta tikai daži tÄ«kla adapteri. Bet tas ir absolÅ«ti nepiemērojams reālos apstākļos vai to var izmantot tikai starp divām tieÅ”i savienotām stacijām, tikai testa stendā.

Bet, tā kā VPN tunelis tiek pārsÅ«tÄ«ts starp diviem resursdatoriem, izmantojot interneta savienojumu, kas vispār neatbalsta jumbo kadrus, uz stenda sasniegto rezultātu nevar uzskatÄ«t par etalonu. Tas ir vienkārÅ”i nereāls laboratorijas sasniegums, kas nav iespējams un nav pielietojams reālos kaujas apstākļos.

Pat sēžot datu centrā, es nevarēju pārsūtīt kadrus, kas lielāki par 9000 baitiem.

Piemērojamības kritērijs reālajā dzīvē ir absolūti pārkāpts un, kā domāju, veiktā "mērījuma" autors acīmredzamu iemeslu dēļ sevi nopietni diskreditēja.

Kāpēc nevajadzētu izmantot WireGuard

Pēdējais cerÄ«bas stariņŔ

WireGuard vietne daudz runā par konteineriem un kļūst skaidrs, kam tas īsti ir paredzēts.

VienkārÅ”s un ātrs VPN, kam nav nepiecieÅ”ama konfigurācija, un to var izvietot un konfigurēt, izmantojot tādus masveida orÄ·estrÄ“Å”anas rÄ«kus kā Amazon savā mākonÄ«. Konkrēti, Amazon izmanto jaunākās aparatÅ«ras funkcijas, kuras jau minēju iepriekÅ”, piemēram, AVX512. Tas tiek darÄ«ts, lai paātrinātu darbu un netiktu saistÄ«ts ar x86 vai kādu citu arhitektÅ«ru.

Tie optimizē caurlaidspēju un paketes, kas ir lielākas par 9000 baitiem ā€” tie bÅ«s milzÄ«gi iekapsulēti rāmji konteineru savstarpējai saziņai vai dublÄ“Å”anas operācijām, momentuzņēmumu izveidei vai Å”o paÅ”u konteineru izvietoÅ”anai. Pat dinamiskas IP adreses nekādā veidā neietekmēs WireGuard darbÄ«bu manis aprakstÄ«tā scenārija gadÄ«jumā.

Labi spēlēts. Lieliska ievieÅ”ana un ļoti plāns, gandrÄ«z atsauces protokols.

Bet tas vienkārÅ”i neiederas pasaulē ārpus datu centra, kuru jÅ«s pilnÄ«bā kontrolējat. Ja uzņematies risku un sākat lietot WireGuard, jums bÅ«s pastāvÄ«gi jāpiekāpjas Å”ifrÄ“Å”anas protokola izstrādē un ievieÅ”anā.

secinājums

Man ir viegli secināt, ka WireGuard vēl nav gatavs.

Tas tika iecerēts kā viegls un ātrs risinājums vairākām problēmām ar esoÅ”ajiem risinājumiem. Diemžēl Å”o risinājumu dēļ viņŔ upurēja daudzas funkcijas, kas bÅ«s aktuālas lielākajai daļai lietotāju. Tāpēc tas nevar aizstāt IPsec vai OpenVPN.

Lai WireGuard kļūtu konkurētspējÄ«gs, tam ir jāpievieno vismaz IP adreses iestatÄ«jums un marÅ”rutÄ“Å”anas un DNS konfigurācija. AcÄ«mredzot Å”im nolÅ«kam ir paredzēti Å”ifrētie kanāli.

DroŔība ir mana galvenā prioritāte, un Å”obrÄ«d man nav iemesla uzskatÄ«t, ka IKE vai TLS ir kaut kā apdraudēts vai bojāts. Abos no tiem tiek atbalstÄ«ta mÅ«sdienÄ«ga Å”ifrÄ“Å”ana, un to ir pierādÄ«jusi gadu desmitiem ilga darbÄ«ba. Tas, ka kaut kas ir jaunāks, nenozÄ«mē, ka tas ir labāks.

Sadarbspēja ir ārkārtÄ«gi svarÄ«ga, sazinoties ar treÅ”ajām pusēm, kuru stacijas jÅ«s nekontrolējat. IPsec ir de facto standarts, un tas tiek atbalstÄ«ts gandrÄ«z visur. Un viņŔ strādā. Un neatkarÄ«gi no tā, kā tas izskatās, teorētiski WireGuard nākotnē var nebÅ«t saderÄ«gs pat ar dažādām tā versijām.

Jebkāda kriptogrāfiskā aizsardzība agrāk vai vēlāk tiek sabojāta un attiecīgi jāaizstāj vai jāatjaunina.

Visu Å”o faktu noliegÅ”ana un akla vēlme izmantot WireGuard, lai savienotu savu iPhone ar mājas darbstaciju, ir tikai meistarklase, kā iebāzt galvu smiltÄ«s.

Avots: www.habr.com

Pievieno komentāru