എന്തുകൊണ്ടാണ് നിങ്ങൾ വയർഗാർഡ് ഉപയോഗിക്കരുത്

വയർഗാർഡ് ഈയിടെയായി വളരെയധികം ശ്രദ്ധ നേടുന്നു, വാസ്തവത്തിൽ ഇത് VPN-കൾക്കിടയിലുള്ള പുതിയ താരമാണ്. എന്നാൽ അവൻ തോന്നുന്നത്ര നല്ലവനാണോ? IPsec അല്ലെങ്കിൽ OpenVPN മാറ്റിസ്ഥാപിക്കുന്നതിനുള്ള ഒരു പരിഹാരമാകാത്തത് എന്തുകൊണ്ടെന്ന് വിശദീകരിക്കാൻ ചില നിരീക്ഷണങ്ങൾ ചർച്ച ചെയ്യാനും WireGuard നടപ്പിലാക്കുന്നത് അവലോകനം ചെയ്യാനും ഞാൻ ആഗ്രഹിക്കുന്നു.

ഈ ലേഖനത്തിൽ, [WireGuard-നെ ചുറ്റിപ്പറ്റിയുള്ള] ചില മിഥ്യകൾ പൊളിച്ചെഴുതാൻ ഞാൻ ആഗ്രഹിക്കുന്നു. അതെ, ഇത് വായിക്കാൻ വളരെയധികം സമയമെടുക്കും, അതിനാൽ നിങ്ങൾ സ്വയം ഒരു കപ്പ് ചായയോ കാപ്പിയോ ഉണ്ടാക്കിയില്ലെങ്കിൽ, അത് ചെയ്യാൻ സമയമായി. എന്റെ അരാജക ചിന്തകൾ തിരുത്തിയതിന് പീറ്ററിനോട് നന്ദി പറയാൻ ഞാൻ ആഗ്രഹിക്കുന്നു.

വയർഗാർഡിന്റെ ഡെവലപ്പർമാരെ അപകീർത്തിപ്പെടുത്തുക, അവരുടെ ശ്രമങ്ങളെയോ ആശയങ്ങളെയോ വിലകുറച്ചുകാണിക്കുക എന്ന ലക്ഷ്യം ഞാൻ സ്വയം സജ്ജമാക്കുന്നില്ല. അവരുടെ ഉൽപ്പന്നം പ്രവർത്തിക്കുന്നു, പക്ഷേ വ്യക്തിപരമായി ഇത് യഥാർത്ഥത്തിൽ ഉള്ളതിൽ നിന്ന് തികച്ചും വ്യത്യസ്തമായി അവതരിപ്പിച്ചതായി ഞാൻ കരുതുന്നു - ഇത് IPsec, OpenVPN എന്നിവയ്ക്ക് പകരമായി അവതരിപ്പിക്കുന്നു, അത് ഇപ്പോൾ നിലവിലില്ല.

ഒരു കുറിപ്പെന്ന നിലയിൽ, വയർഗാർഡിന്റെ അത്തരം സ്ഥാനനിർണ്ണയത്തിന്റെ ഉത്തരവാദിത്തം അതിനെക്കുറിച്ച് സംസാരിച്ച മാധ്യമങ്ങൾക്കാണെന്നും പ്രോജക്റ്റിനോ അതിന്റെ സ്രഷ്‌ടാക്കളോ അല്ലെന്ന് കൂട്ടിച്ചേർക്കാൻ ഞാൻ ആഗ്രഹിക്കുന്നു.

ഈയിടെയായി ലിനക്സ് കേർണലിനെക്കുറിച്ച് അത്ര നല്ല വാർത്തകളൊന്നും വന്നിട്ടില്ല. അതിനാൽ, സോഫ്റ്റ്‌വെയർ നിരത്തിയ പ്രോസസറിന്റെ ഭീകരമായ കേടുപാടുകളെക്കുറിച്ച് ഞങ്ങളോട് പറഞ്ഞു, ലിനസ് ടോർവാൾഡ്‌സ് ഒരു ഡവലപ്പറുടെ ഉപയോഗപ്രദമായ ഭാഷയിൽ അതിനെക്കുറിച്ച് വളരെ പരുഷമായും വിരസമായും സംസാരിച്ചു. ഷെഡ്യൂളർ അല്ലെങ്കിൽ സീറോ-ലെവൽ നെറ്റ്‌വർക്ക് സ്റ്റാക്ക് തിളങ്ങുന്ന മാസികകൾക്ക് വളരെ വ്യക്തമായ വിഷയങ്ങളല്ല. തുടർന്ന് വയർഗാർഡ് പ്രത്യക്ഷപ്പെടുന്നു.

കടലാസിൽ, എല്ലാം മികച്ചതായി തോന്നുന്നു: ആവേശകരമായ ഒരു പുതിയ സാങ്കേതികവിദ്യ.

എന്നാൽ നമുക്ക് കുറച്ചുകൂടി സൂക്ഷ്മമായി നോക്കാം.

വയർഗാർഡ് വൈറ്റ് പേപ്പർ

ഈ ലേഖനം അടിസ്ഥാനമാക്കിയുള്ളതാണ് ഔദ്യോഗിക വയർഗാർഡ് ഡോക്യുമെന്റേഷൻജേസൺ ഡോണൻഫെൽഡ് എഴുതിയത്. ലിനക്സ് കേർണലിലെ [WireGuard] ആശയം, ഉദ്ദേശ്യം, സാങ്കേതിക നിർവ്വഹണം എന്നിവ അദ്ദേഹം അവിടെ വിശദീകരിക്കുന്നു.

ആദ്യ വാചകം ഇങ്ങനെയാണ്:

WireGuard […] കൂടുതൽ ഉപയോഗ കേസുകളിലും മറ്റ് ജനപ്രിയ ഉപയോക്തൃ ഇടങ്ങളിലും കൂടാതെ/അല്ലെങ്കിൽ OpenVPN പോലെയുള്ള TLS അധിഷ്‌ഠിത സൊല്യൂഷനുകളിലും IPsec മാറ്റി പകരം വയ്ക്കാൻ ലക്ഷ്യമിടുന്നു.

തീർച്ചയായും, എല്ലാ പുതിയ സാങ്കേതികവിദ്യകളുടെയും പ്രധാന നേട്ടം അവരുടേതാണ് ലാളിത്യം [മുൻഗാമികളെ അപേക്ഷിച്ച്]. എന്നാൽ ഒരു VPN കൂടി ആയിരിക്കണം ഫലപ്രദവും സുരക്ഷിതവുമാണ്.

അപ്പോൾ, അടുത്തത് എന്താണ്?

[ഒരു VPN-ൽ നിന്ന്] നിങ്ങൾക്ക് ആവശ്യമുള്ളത് ഇതല്ലെന്ന് നിങ്ങൾ പറയുകയാണെങ്കിൽ, നിങ്ങൾക്ക് വായന ഇവിടെ അവസാനിപ്പിക്കാം. എന്നിരുന്നാലും, അത്തരം ജോലികൾ മറ്റേതെങ്കിലും ടണലിംഗ് സാങ്കേതികവിദ്യയ്ക്കായി സജ്ജീകരിച്ചിട്ടുണ്ടെന്ന് ഞാൻ ശ്രദ്ധിക്കും.

മേൽപ്പറഞ്ഞ ഉദ്ധരണിയിലെ ഏറ്റവും രസകരമായ ഭാഗം "മിക്ക കേസുകളിലും" എന്ന വാക്കുകളിലാണ്, തീർച്ചയായും, പത്രങ്ങൾ അവഗണിച്ചു. അതിനാൽ, ഈ അശ്രദ്ധ സൃഷ്ടിച്ച അരാജകത്വം കാരണം നമ്മൾ എവിടെയാണ് - ഈ ലേഖനത്തിൽ.

WireGuard എന്റെ [IPsec] സൈറ്റ്-ടു-സൈറ്റ് VPN-നെ മാറ്റിസ്ഥാപിക്കുമോ?

ഇല്ല. Cisco, Juniper തുടങ്ങിയ വൻകിട കച്ചവടക്കാർ അവരുടെ ഉൽപ്പന്നങ്ങൾക്കായി WireGuard വാങ്ങാൻ ഒരു സാധ്യതയുമില്ല. എന്തെങ്കിലും വലിയ ആവശ്യമില്ലെങ്കിൽ അവർ യാത്രയിൽ "കടക്കുന്ന ട്രെയിനുകളിൽ ചാടില്ല". പിന്നീട്, അവർ ആഗ്രഹിച്ചാലും അവരുടെ WireGuard ഉൽപ്പന്നങ്ങൾ ബോർഡിൽ ലഭിക്കാത്തതിന്റെ ചില കാരണങ്ങൾ ഞാൻ പരിശോധിക്കാം.

WireGuard എന്റെ ലാപ്‌ടോപ്പിൽ നിന്ന് എന്റെ RoadWarrior-നെ ഡാറ്റാ സെന്ററിലേക്ക് കൊണ്ടുപോകുമോ?

ഇല്ല. ഇപ്പോൾ, WireGuard-ന് ഇതുപോലെ എന്തെങ്കിലും ചെയ്യാൻ കഴിയുന്ന തരത്തിൽ പ്രധാനപ്പെട്ട ഫീച്ചറുകളുടെ ഒരു വലിയ സംഖ്യ നടപ്പിലാക്കിയിട്ടില്ല. ഉദാഹരണത്തിന്, ടണൽ സെർവർ ഭാഗത്ത് ഇതിന് ഡൈനാമിക് ഐപി വിലാസങ്ങൾ ഉപയോഗിക്കാൻ കഴിയില്ല, മാത്രമല്ല ഇത് ഉൽപ്പന്നത്തിന്റെ അത്തരം ഉപയോഗത്തിന്റെ മുഴുവൻ സാഹചര്യത്തെയും തകർക്കുന്നു.

DSL അല്ലെങ്കിൽ കേബിൾ കണക്ഷനുകൾ പോലെയുള്ള വിലകുറഞ്ഞ ഇന്റർനെറ്റ് ലിങ്കുകൾക്കായി IPFire ഉപയോഗിക്കാറുണ്ട്. ഫാസ്റ്റ് ഫൈബർ ആവശ്യമില്ലാത്ത ചെറുകിട അല്ലെങ്കിൽ ഇടത്തരം ബിസിനസുകൾക്ക് ഇത് അർത്ഥമാക്കുന്നു. [വിവർത്തകനിൽ നിന്നുള്ള കുറിപ്പ്: ആശയവിനിമയത്തിന്റെ കാര്യത്തിൽ, റഷ്യയും ചില സിഐഎസ് രാജ്യങ്ങളും യൂറോപ്പിനേക്കാളും യുണൈറ്റഡ് സ്റ്റേറ്റ്സിനേക്കാളും വളരെ മുന്നിലാണെന്ന കാര്യം മറക്കരുത്, കാരണം ഞങ്ങൾ ഞങ്ങളുടെ നെറ്റ്‌വർക്കുകൾ നിർമ്മിക്കാൻ തുടങ്ങി, ഇഥർനെറ്റിന്റെയും ഫൈബർ ഒപ്റ്റിക് നെറ്റ്‌വർക്കുകളുടെയും വരവോടെ. സ്റ്റാൻഡേർഡ്, ഞങ്ങൾക്ക് പുനർനിർമ്മിക്കാൻ എളുപ്പമായിരുന്നു. EU അല്ലെങ്കിൽ USA യുടെ അതേ രാജ്യങ്ങളിൽ, 3-5 Mbps വേഗതയിൽ xDSL ബ്രോഡ്‌ബാൻഡ് ആക്‌സസ് ഇപ്പോഴും ഒരു പൊതു മാനദണ്ഡമാണ്, കൂടാതെ ഒരു ഫൈബർ ഒപ്‌റ്റിക് കണക്ഷന് ഞങ്ങളുടെ മാനദണ്ഡങ്ങൾക്കനുസരിച്ച് ചില അയഥാർത്ഥ പണം ചിലവാകും. അതിനാൽ, ലേഖനത്തിന്റെ രചയിതാവ് DSL അല്ലെങ്കിൽ കേബിൾ കണക്ഷൻ ഒരു മാനദണ്ഡമായി സംസാരിക്കുന്നു, അല്ലാതെ പുരാതന കാലമല്ല.] എന്നിരുന്നാലും, DSL, കേബിൾ, LTE (മറ്റ് വയർലെസ് ആക്സസ് രീതികൾ) എന്നിവയ്ക്ക് ഡൈനാമിക് ഐപി വിലാസങ്ങളുണ്ട്. തീർച്ചയായും, ചിലപ്പോൾ അവ പലപ്പോഴും മാറില്ല, പക്ഷേ അവ മാറുന്നു.

എന്നൊരു ഉപപദ്ധതിയുണ്ട് "wg-dynamic", ഈ പോരായ്മ മറികടക്കാൻ ഒരു യൂസർസ്പേസ് ഡെമൺ ചേർക്കുന്നു. മുകളിൽ വിവരിച്ച ഉപയോക്തൃ സാഹചര്യത്തിലെ ഒരു വലിയ പ്രശ്നം ഡൈനാമിക് IPv6 അഡ്രസിംഗിന്റെ വർദ്ധനവാണ്.

വിതരണക്കാരന്റെ കാഴ്ചപ്പാടിൽ, ഇതെല്ലാം വളരെ മികച്ചതായി തോന്നുന്നില്ല. പ്രോട്ടോക്കോൾ ലളിതവും വൃത്തിയും ആയി സൂക്ഷിക്കുക എന്നതായിരുന്നു ഡിസൈൻ ലക്ഷ്യങ്ങളിലൊന്ന്.

നിർഭാഗ്യവശാൽ, ഇതെല്ലാം യഥാർത്ഥത്തിൽ വളരെ ലളിതവും പ്രാകൃതവുമായി മാറിയിരിക്കുന്നു, അതിനാൽ ഈ മുഴുവൻ രൂപകൽപ്പനയും യഥാർത്ഥ ഉപയോഗത്തിൽ പ്രായോഗികമാകുന്നതിന് ഞങ്ങൾ അധിക സോഫ്റ്റ്‌വെയർ ഉപയോഗിക്കേണ്ടതുണ്ട്.

WireGuard ഉപയോഗിക്കാൻ അത്ര എളുപ്പമാണോ?

ഇനിയും ഇല്ല. വയർഗാർഡ് ഒരിക്കലും രണ്ട് പോയിന്റുകൾക്കിടയിൽ തുരങ്കം വയ്ക്കുന്നതിനുള്ള നല്ലൊരു ബദലായിരിക്കില്ലെന്ന് ഞാൻ പറയുന്നില്ല, എന്നാൽ ഇപ്പോൾ അത് ഉൽപ്പന്നത്തിന്റെ ആൽഫ പതിപ്പ് മാത്രമാണ്.

എന്നാൽ അവൻ യഥാർത്ഥത്തിൽ എന്താണ് ചെയ്യുന്നത്? IPsec നിലനിർത്താൻ ശരിക്കും ബുദ്ധിമുട്ടാണോ?

തീർച്ചയായും അല്ല. IPsec വെണ്ടർ ഇതിനെക്കുറിച്ച് ചിന്തിക്കുകയും IPFire പോലുള്ള ഒരു ഇന്റർഫേസിനൊപ്പം അവരുടെ ഉൽപ്പന്നം അയയ്ക്കുകയും ചെയ്യുന്നു.

IPsec-ൽ ഒരു VPN ടണൽ സജ്ജീകരിക്കുന്നതിന്, നിങ്ങൾക്ക് കോൺഫിഗറേഷനിൽ പ്രവേശിക്കേണ്ട അഞ്ച് സെറ്റ് ഡാറ്റ ആവശ്യമാണ്: നിങ്ങളുടെ സ്വന്തം പൊതു IP വിലാസം, സ്വീകരിക്കുന്ന കക്ഷിയുടെ പൊതു IP വിലാസം, നിങ്ങൾ പരസ്യമാക്കാൻ ആഗ്രഹിക്കുന്ന സബ്‌നെറ്റുകൾ ഈ VPN കണക്ഷനും മുൻകൂട്ടി പങ്കിട്ട കീയും. അങ്ങനെ, VPN മിനിറ്റുകൾക്കുള്ളിൽ സജ്ജീകരിക്കുകയും ഏത് വെണ്ടറുമായി പൊരുത്തപ്പെടുകയും ചെയ്യുന്നു.

നിർഭാഗ്യവശാൽ, ഈ കഥയ്ക്ക് കുറച്ച് ഒഴിവാക്കലുകൾ ഉണ്ട്. ഒരു OpenBSD മെഷീനിലേക്ക് IPsec-ലൂടെ ടണൽ ചെയ്യാൻ ശ്രമിച്ച ആർക്കും ഞാൻ എന്താണ് സംസാരിക്കുന്നതെന്ന് അറിയാം. വേദനാജനകമായ രണ്ട് ഉദാഹരണങ്ങളുണ്ട്, എന്നാൽ വാസ്തവത്തിൽ, IPsec ഉപയോഗിക്കുന്നതിന് ധാരാളം നല്ല സമ്പ്രദായങ്ങളുണ്ട്.

പ്രോട്ടോക്കോൾ സങ്കീർണ്ണതയെക്കുറിച്ച്

പ്രോട്ടോക്കോളിന്റെ സങ്കീർണ്ണതയെക്കുറിച്ച് അന്തിമ ഉപയോക്താവിന് വിഷമിക്കേണ്ടതില്ല.

ഇത് ഉപയോക്താവിന്റെ യഥാർത്ഥ ആശങ്കയായ ഒരു ലോകത്താണ് ഞങ്ങൾ ജീവിച്ചിരുന്നതെങ്കിൽ, NAT-ൽ നന്നായി പ്രവർത്തിക്കാത്ത പത്ത് വർഷത്തിലേറെ മുമ്പ് സൃഷ്ടിച്ച SIP, H.323, FTP എന്നിവയും മറ്റ് പ്രോട്ടോക്കോളുകളും ഞങ്ങൾ വളരെ മുമ്പുതന്നെ ഒഴിവാക്കുമായിരുന്നു.

WireGuard-നേക്കാൾ IPsec സങ്കീർണ്ണമാകുന്നതിന് കാരണങ്ങളുണ്ട്: ഇത് കൂടുതൽ കാര്യങ്ങൾ ചെയ്യുന്നു. ഉദാഹരണത്തിന്, EAP ഉപയോഗിച്ച് ലോഗിൻ/പാസ്‌വേഡ് അല്ലെങ്കിൽ സിം കാർഡ് ഉപയോഗിച്ച് ഉപയോക്തൃ പ്രാമാണീകരണം. പുതിയത് ചേർക്കാനുള്ള വിപുലമായ കഴിവ് ഇതിന് ഉണ്ട് ക്രിപ്റ്റോഗ്രാഫിക് പ്രാകൃതങ്ങൾ.

വയർഗാർഡിന് അത് ഇല്ല.

ഇതിനർത്ഥം WireGuard ഒരു ഘട്ടത്തിൽ തകരും, കാരണം ക്രിപ്‌റ്റോഗ്രാഫിക് പ്രാകൃതങ്ങളിലൊന്ന് ദുർബലമാകുകയോ പൂർണ്ണമായും വിട്ടുവീഴ്ച ചെയ്യപ്പെടുകയോ ചെയ്യും. സാങ്കേതിക ഡോക്യുമെന്റേഷന്റെ രചയിതാവ് ഇത് പറയുന്നു:

വയർഗാർഡ് ക്രിപ്‌റ്റോഗ്രാഫിക്കലി അഭിപ്രായമുള്ളതാണ് എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്. ഇതിന് സൈഫറുകളുടെയും പ്രോട്ടോക്കോളുകളുടെയും വഴക്കം ബോധപൂർവം ഇല്ല. അടിസ്ഥാനപരമായ പ്രാകൃതങ്ങളിൽ ഗുരുതരമായ ദ്വാരങ്ങൾ കണ്ടെത്തിയാൽ, എല്ലാ അവസാന പോയിന്റുകളും അപ്‌ഡേറ്റ് ചെയ്യേണ്ടതുണ്ട്. SLL/TLS കേടുപാടുകളുടെ നിലവിലുള്ള സ്ട്രീമിൽ നിന്ന് നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, എൻക്രിപ്ഷന്റെ വഴക്കം ഇപ്പോൾ വളരെയധികം വർദ്ധിച്ചു.

അവസാന വാചകം തികച്ചും ശരിയാണ്.

എന്ത് എൻക്രിപ്ഷൻ ഉപയോഗിക്കണം എന്ന കാര്യത്തിൽ സമവായത്തിലെത്തുന്നത് IKE, TLS പോലുള്ള പ്രോട്ടോക്കോളുകൾ ഉണ്ടാക്കുന്നു более സങ്കീർണ്ണമായ. വളരെ സങ്കീർണ്ണമാണോ? അതെ, TLS/SSL-ൽ കേടുപാടുകൾ വളരെ സാധാരണമാണ്, അവയ്‌ക്ക് ബദലുകളൊന്നുമില്ല.

യഥാർത്ഥ പ്രശ്നങ്ങളെ അവഗണിക്കുന്നതിനെക്കുറിച്ച്

നിങ്ങൾക്ക് ലോകമെമ്പാടുമുള്ള 200 കോംബാറ്റ് ക്ലയന്റുകളുള്ള ഒരു VPN സെർവർ ഉണ്ടെന്ന് സങ്കൽപ്പിക്കുക. ഇത് വളരെ സാധാരണമായ ഉപയോഗ കേസാണ്. നിങ്ങൾക്ക് എൻക്രിപ്ഷൻ മാറ്റണമെങ്കിൽ, ഈ ലാപ്‌ടോപ്പുകളിലും സ്‌മാർട്ട്‌ഫോണുകളിലും മറ്റും WireGuard-ന്റെ എല്ലാ പകർപ്പുകളിലേക്കും നിങ്ങൾ അപ്‌ഡേറ്റ് നൽകേണ്ടതുണ്ട്. ഒരേസമയം എത്തിക്കുക. അത് അക്ഷരാർത്ഥത്തിൽ അസാധ്യമാണ്. ഇത് ചെയ്യാൻ ശ്രമിക്കുന്ന അഡ്‌മിനിസ്‌ട്രേറ്റർമാർ ആവശ്യമായ കോൺഫിഗറേഷനുകൾ വിന്യസിക്കാൻ മാസങ്ങളെടുക്കും, കൂടാതെ ഇത്തരമൊരു ഇവന്റ് പിൻവലിക്കാൻ ഒരു ഇടത്തരം കമ്പനിക്ക് അക്ഷരാർത്ഥത്തിൽ വർഷങ്ങളെടുക്കും.

IPsec, OpenVPN എന്നിവ ഒരു സൈഫർ നെഗോഷ്യേഷൻ ഫീച്ചർ വാഗ്ദാനം ചെയ്യുന്നു. അതിനാൽ, നിങ്ങൾ പുതിയ എൻക്രിപ്ഷൻ ഓണാക്കിയ ശേഷം കുറച്ച് സമയത്തേക്ക്, പഴയതും പ്രവർത്തിക്കും. പുതിയ പതിപ്പിലേക്ക് അപ്‌ഗ്രേഡ് ചെയ്യാൻ നിലവിലെ ഉപഭോക്താക്കളെ ഇത് അനുവദിക്കും. അപ്‌ഡേറ്റ് പുറത്തെടുത്ത ശേഷം, നിങ്ങൾ ദുർബലമായ എൻക്രിപ്ഷൻ ഓഫാക്കുക. അത്രമാത്രം! തയ്യാറാണ്! നീ സുന്ദരിയാണ്! ഉപഭോക്താക്കൾ ഇത് ശ്രദ്ധിക്കുന്നില്ല.

വലിയ വിന്യാസങ്ങൾക്ക് ഇത് വളരെ സാധാരണമായ ഒരു കേസാണ്, കൂടാതെ OpenVPN-ന് പോലും ഇതിൽ ചില ബുദ്ധിമുട്ടുകൾ ഉണ്ട്. ബാക്ക്‌വേർഡ് കോംപാറ്റിബിലിറ്റി പ്രധാനമാണ്, നിങ്ങൾ ദുർബലമായ എൻക്രിപ്ഷൻ ഉപയോഗിക്കുന്നുണ്ടെങ്കിലും, പലർക്കും ഇത് ഒരു ബിസിനസ്സ് അവസാനിപ്പിക്കാനുള്ള ഒരു കാരണമല്ല. കാരണം, അവരുടെ ജോലി ചെയ്യാൻ കഴിയാതെ നൂറുകണക്കിന് ഉപഭോക്താക്കളുടെ ജോലി ഇത് സ്തംഭിപ്പിക്കും.

വയർഗാർഡ് ടീം അവരുടെ പ്രോട്ടോക്കോൾ ലളിതമാക്കിയിരിക്കുന്നു, എന്നാൽ അവരുടെ തുരങ്കത്തിലെ രണ്ട് സമപ്രായക്കാരുടെ മേൽ സ്ഥിരമായ നിയന്ത്രണം ഇല്ലാത്ത ആളുകൾക്ക് പൂർണ്ണമായും ഉപയോഗശൂന്യമാണ്. എന്റെ അനുഭവത്തിൽ, ഇതാണ് ഏറ്റവും സാധാരണമായ സാഹചര്യം.

ക്രിപ്റ്റോഗ്രഫി!

എന്നാൽ WireGuard ഉപയോഗിക്കുന്ന രസകരമായ ഈ പുതിയ എൻക്രിപ്ഷൻ എന്താണ്?

WireGuard കീ എക്സ്ചേഞ്ചിനായി Curve25519, എൻക്രിപ്ഷൻ വേണ്ടി ChaCha20, ഡാറ്റ ആധികാരികതയ്ക്കായി Poly1305 എന്നിവ ഉപയോഗിക്കുന്നു. ഹാഷ് കീകൾക്കായി SipHash, ഹാഷിംഗിനായി BLAKE2 എന്നിവയിലും ഇത് പ്രവർത്തിക്കുന്നു.

ChaCha20-Poly1305 IPsec, OpenVPN (TLS-ന് മുകളിൽ) എന്നിവയ്‌ക്കായി സ്റ്റാൻഡേർഡ് ചെയ്‌തിരിക്കുന്നു.

ഡാനിയൽ ബെർൺസ്റ്റൈന്റെ വികസനം പലപ്പോഴും ഉപയോഗിക്കാറുണ്ടെന്ന് വ്യക്തമാണ്. SHA-2 ഫൈനലിസ്റ്റായ BLAKE ന്റെ പിൻഗാമിയാണ് BLAKE3, SHA-2 ന്റെ സാമ്യം കാരണം വിജയിച്ചില്ല. SHA-2 തകർക്കപ്പെടുകയാണെങ്കിൽ, BLAKE-ഉം വിട്ടുവീഴ്ച ചെയ്യപ്പെടാൻ നല്ല സാധ്യതയുണ്ടായിരുന്നു.

IPsec, OpenVPN എന്നിവയുടെ ഡിസൈൻ കാരണം SipHash ആവശ്യമില്ല. അതിനാൽ നിലവിൽ അവയ്‌ക്കൊപ്പം ഉപയോഗിക്കാൻ കഴിയാത്ത ഒരേയൊരു കാര്യം BLAKE2 ആണ്, അത് സ്റ്റാൻഡേർഡ് ആകുന്നത് വരെ മാത്രം. ഇത് ഒരു വലിയ പോരായ്മയല്ല, കാരണം VPN-കൾ സമഗ്രത സൃഷ്ടിക്കാൻ HMAC ഉപയോഗിക്കുന്നു, ഇത് MD5-മായി ചേർന്ന് പോലും ശക്തമായ പരിഹാരമായി കണക്കാക്കപ്പെടുന്നു.

അതിനാൽ എല്ലാ VPN-കളിലും ഏതാണ്ട് ഒരേ സെറ്റ് ക്രിപ്‌റ്റോഗ്രാഫിക് ടൂളുകളാണ് ഉപയോഗിക്കുന്നതെന്ന നിഗമനത്തിൽ ഞാൻ എത്തി. അതിനാൽ, എൻക്രിപ്ഷൻ അല്ലെങ്കിൽ ട്രാൻസ്മിറ്റ് ചെയ്ത ഡാറ്റയുടെ സമഗ്രത വരുമ്പോൾ, നിലവിലുള്ള മറ്റേതൊരു ഉൽപ്പന്നത്തേക്കാളും വയർഗാർഡ് കൂടുതലോ കുറവോ സുരക്ഷിതമല്ല.

എന്നാൽ ഇത് പോലും ഏറ്റവും പ്രധാനപ്പെട്ട കാര്യമല്ല, ഇത് പ്രോജക്റ്റിന്റെ ഔദ്യോഗിക ഡോക്യുമെന്റേഷൻ അനുസരിച്ച് ശ്രദ്ധിക്കേണ്ടതാണ്. എല്ലാത്തിനുമുപരി, പ്രധാന കാര്യം വേഗതയാണ്.

മറ്റ് VPN സൊല്യൂഷനുകളെ അപേക്ഷിച്ച് വയർഗാർഡ് വേഗതയേറിയതാണോ?

ചുരുക്കത്തിൽ: ഇല്ല, വേഗതയേറിയതല്ല.

സോഫ്റ്റ്‌വെയറിൽ നടപ്പിലാക്കാൻ എളുപ്പമുള്ള ഒരു സ്ട്രീം സൈഫറാണ് ChaCha20. ഇത് ഒരു സമയം ഒരു ബിറ്റ് എൻക്രിപ്റ്റ് ചെയ്യുന്നു. AES പോലുള്ള ബ്ലോക്ക് പ്രോട്ടോക്കോളുകൾ ഒരു ബ്ലോക്ക് 128 ബിറ്റുകൾ എൻക്രിപ്റ്റ് ചെയ്യുന്നു. ഹാർഡ്‌വെയർ പിന്തുണ നടപ്പിലാക്കാൻ കൂടുതൽ ട്രാൻസിസ്റ്ററുകൾ ആവശ്യമാണ്, അതിനാൽ വലിയ പ്രോസസറുകൾ എഇഎസ്-എൻഐയുമായി വരുന്നു, ഇത് വേഗത്തിലാക്കാൻ എൻക്രിപ്ഷൻ പ്രക്രിയയുടെ ചില ജോലികൾ ചെയ്യുന്ന ഒരു ഇൻസ്ട്രക്ഷൻ സെറ്റ് എക്സ്റ്റൻഷൻ.

AES-NI ഒരിക്കലും സ്‌മാർട്ട്‌ഫോണുകളിൽ പ്രവേശിക്കില്ലെന്ന് പ്രതീക്ഷിച്ചിരുന്നു [പക്ഷേ അത് ചെയ്തു — ഏകദേശം. per.]. ഇതിനായി, ഭാരം കുറഞ്ഞതും ബാറ്ററി ലാഭിക്കുന്നതുമായ ഒരു ബദലായി ChaCha20 വികസിപ്പിച്ചെടുത്തു. അതിനാൽ, ഇന്ന് നിങ്ങൾക്ക് വാങ്ങാനാകുന്ന ഓരോ സ്‌മാർട്ട്‌ഫോണിനും ഏതെങ്കിലും തരത്തിലുള്ള AES ആക്‌സിലറേഷൻ ഉണ്ടെന്നും ChaCha20 നെ അപേക്ഷിച്ച് ഈ എൻക്രിപ്‌ഷൻ ഉപയോഗിച്ച് വേഗത്തിലും കുറഞ്ഞ വൈദ്യുതി ഉപഭോഗത്തിലും പ്രവർത്തിക്കുന്നുവെന്നതും നിങ്ങൾക്ക് വാർത്തയായി വന്നേക്കാം.

വ്യക്തമായും, കഴിഞ്ഞ രണ്ട് വർഷങ്ങളിൽ വാങ്ങിയ എല്ലാ ഡെസ്‌ക്‌ടോപ്പ്/സെർവർ പ്രോസസറിനും AES-NI ഉണ്ട്.

അതിനാൽ, ഓരോ സാഹചര്യത്തിലും AES ChaCha20-നെ മറികടക്കുമെന്ന് ഞാൻ പ്രതീക്ഷിക്കുന്നു. AVX512-നൊപ്പം, ChaCha20-Poly1305 AES-NI-യെ മറികടക്കുമെന്ന് WireGuard-ന്റെ ഔദ്യോഗിക ഡോക്യുമെന്റേഷൻ പരാമർശിക്കുന്നു, എന്നാൽ ഈ ഇൻസ്ട്രക്ഷൻ സെറ്റ് വിപുലീകരണം വലിയ CPU-കളിൽ മാത്രമേ ലഭ്യമാകൂ, ഇത് ചെറുതും കൂടുതൽ മൊബൈൽ ഹാർഡ്‌വെയറുമായി വീണ്ടും സഹായിക്കില്ല, അത് എഇഎസിനൊപ്പം എപ്പോഴും വേഗത്തിലായിരിക്കും. - എൻ.ഐ.

WireGuard-ന്റെ വികസന സമയത്ത് ഇത് മുൻകൂട്ടി കാണാൻ കഴിയുമായിരുന്നോ എന്ന് എനിക്ക് ഉറപ്പില്ല, എന്നാൽ ഇന്ന് ഇത് എൻക്രിപ്ഷനിൽ മാത്രം സ്ഥാപിച്ചിരിക്കുന്നു എന്നത് ഇതിനകം തന്നെ ഒരു പോരായ്മയാണ്, അത് അതിന്റെ പ്രവർത്തനത്തെ നന്നായി ബാധിക്കാനിടയില്ല.

നിങ്ങളുടെ ഉപയോഗത്തിന് ഏറ്റവും അനുയോജ്യമായ എൻക്രിപ്ഷൻ സ്വതന്ത്രമായി തിരഞ്ഞെടുക്കാൻ IPsec നിങ്ങളെ അനുവദിക്കുന്നു. ഒരു VPN കണക്ഷൻ വഴി നിങ്ങൾക്ക് 10 അല്ലെങ്കിൽ അതിൽ കൂടുതൽ ജിഗാബൈറ്റ് ഡാറ്റ കൈമാറണമെങ്കിൽ തീർച്ചയായും ഇത് ആവശ്യമാണ്.

ലിനക്സിലെ ഏകീകരണ പ്രശ്നങ്ങൾ

WireGuard ഒരു ആധുനിക എൻക്രിപ്ഷൻ പ്രോട്ടോക്കോൾ തിരഞ്ഞെടുത്തിട്ടുണ്ടെങ്കിലും, ഇത് ഇതിനകം തന്നെ ധാരാളം പ്രശ്നങ്ങൾ ഉണ്ടാക്കുന്നു. അതിനാൽ, ബോക്‌സിന് പുറത്ത് കേർണൽ പിന്തുണയ്‌ക്കുന്നവ ഉപയോഗിക്കുന്നതിനുപകരം, ലിനക്‌സിൽ ഈ പ്രിമിറ്റീവുകളുടെ അഭാവം കാരണം വയർഗാർഡിന്റെ സംയോജനം വർഷങ്ങളായി വൈകുകയാണ്.

മറ്റ് ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിൽ സ്ഥിതി എന്താണെന്ന് എനിക്ക് പൂർണ്ണമായും ഉറപ്പില്ല, പക്ഷേ ഇത് ലിനക്സിൽ നിന്ന് വ്യത്യസ്തമല്ല.

യാഥാർത്ഥ്യം എങ്ങനെ കാണപ്പെടുന്നു?

നിർഭാഗ്യവശാൽ, ഓരോ തവണയും ഒരു ക്ലയന്റ് അവർക്കായി ഒരു VPN കണക്ഷൻ സജ്ജീകരിക്കാൻ എന്നോട് ആവശ്യപ്പെടുമ്പോൾ, അവർ കാലഹരണപ്പെട്ട ക്രെഡൻഷ്യലുകളും എൻക്രിപ്ഷനും ഉപയോഗിക്കുന്നു എന്ന പ്രശ്‌നം ഞാൻ നേരിടുന്നു. എഇഎസ്-3, എസ്എച്ച്എ5 എന്നിവ പോലെ 256DES MD1 മായി സംയോജിപ്പിച്ച് ഇപ്പോഴും സാധാരണ രീതിയാണ്. രണ്ടാമത്തേത് അൽപ്പം മികച്ചതാണെങ്കിലും, ഇത് 2020-ൽ ഉപയോഗിക്കേണ്ട ഒന്നല്ല.

കീ കൈമാറ്റത്തിനായി എപ്പോഴും RSA ഉപയോഗിക്കുന്നു - വേഗത കുറഞ്ഞതും എന്നാൽ തികച്ചും സുരക്ഷിതവുമായ ഒരു ഉപകരണം.

എന്റെ ക്ലയന്റുകൾ കസ്റ്റംസ് അധികാരികളുമായും മറ്റ് സർക്കാർ ഓർഗനൈസേഷനുകളുമായും സ്ഥാപനങ്ങളുമായും അതുപോലെ ലോകമെമ്പാടും അറിയപ്പെടുന്ന വലിയ കോർപ്പറേഷനുകളുമായും ബന്ധപ്പെട്ടിരിക്കുന്നു. അവരെല്ലാം പതിറ്റാണ്ടുകൾക്ക് മുമ്പ് സൃഷ്ടിച്ച ഒരു അഭ്യർത്ഥന ഫോം ഉപയോഗിക്കുന്നു, കൂടാതെ SHA-512 ഉപയോഗിക്കാനുള്ള കഴിവ് ഒരിക്കലും ചേർത്തിട്ടില്ല. ഇത് സാങ്കേതിക പുരോഗതിയെ എങ്ങനെയെങ്കിലും വ്യക്തമായി ബാധിക്കുമെന്ന് എനിക്ക് പറയാനാവില്ല, പക്ഷേ ഇത് കോർപ്പറേറ്റ് പ്രക്രിയയെ മന്ദഗതിയിലാക്കുന്നു.

2005 മുതൽ IPsec എലിപ്റ്റിക് കർവുകളെ പിന്തുണയ്ക്കുന്നതിനാൽ ഇത് കാണുന്നത് എന്നെ വേദനിപ്പിക്കുന്നു. Curve25519 പുതിയതും ഉപയോഗത്തിന് ലഭ്യമാണ്. Camellia, ChaCha20 എന്നിവ പോലെ AES-ന് ഇപ്പോഴും ഇതരമാർഗങ്ങളുണ്ട്, എന്നാൽ അവയെല്ലാം സിസ്‌കോയും മറ്റുള്ളവയും പോലുള്ള പ്രധാന വെണ്ടർമാർ പിന്തുണയ്ക്കുന്നില്ല.

ജനങ്ങൾ അത് മുതലെടുക്കുകയും ചെയ്യുന്നു. നിരവധി സിസ്‌കോ കിറ്റുകൾ ഉണ്ട്, സിസ്‌കോയ്‌ക്കൊപ്പം പ്രവർത്തിക്കാൻ രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്ന നിരവധി കിറ്റുകൾ ഉണ്ട്. അവർ ഈ വിഭാഗത്തിലെ മാർക്കറ്റ് ലീഡർമാരാണ്, കൂടാതെ ഒരു തരത്തിലുള്ള നവീകരണത്തിലും വലിയ താൽപ്പര്യമില്ല.

അതെ, [കോർപ്പറേറ്റ് വിഭാഗത്തിലെ] സ്ഥിതി ഭയാനകമാണ്, പക്ഷേ വയർഗാർഡ് കാരണം ഞങ്ങൾ മാറ്റങ്ങളൊന്നും കാണില്ല. വെണ്ടർമാർ അവർ ഇതിനകം ഉപയോഗിക്കുന്ന ടൂളിംഗിലും എൻക്രിപ്ഷനിലും പ്രകടന പ്രശ്‌നങ്ങളൊന്നും കാണാനിടയില്ല, IKEv2-ൽ പ്രശ്‌നങ്ങളൊന്നും കാണില്ല, അതിനാൽ അവർ ഇതരമാർഗങ്ങൾ തേടുന്നില്ല.

പൊതുവേ, സിസ്കോയെ ഉപേക്ഷിക്കുന്നതിനെക്കുറിച്ച് നിങ്ങൾ എപ്പോഴെങ്കിലും ചിന്തിച്ചിട്ടുണ്ടോ?

ബെഞ്ച്മാർക്കുകൾ

ഇപ്പോൾ നമുക്ക് WireGuard ഡോക്യുമെന്റേഷനിൽ നിന്നുള്ള ബെഞ്ച്മാർക്കുകളിലേക്ക് പോകാം. ഇത് [ഡോക്യുമെന്റേഷൻ] ഒരു ശാസ്ത്രീയ ലേഖനമല്ലെങ്കിലും, ഡെവലപ്പർമാർ കൂടുതൽ ശാസ്ത്രീയമായ സമീപനം സ്വീകരിക്കുമെന്നും അല്ലെങ്കിൽ ഒരു റഫറൻസായി ശാസ്ത്രീയ സമീപനം ഉപയോഗിക്കുമെന്നും ഞാൻ പ്രതീക്ഷിച്ചു. ഏതെങ്കിലും മാനദണ്ഡങ്ങൾ പുനർനിർമ്മിക്കാൻ കഴിയുന്നില്ലെങ്കിൽ അവ ഉപയോഗശൂന്യമാണ്, കൂടാതെ അവ ലബോറട്ടറിയിൽ ലഭിക്കുമ്പോൾ കൂടുതൽ ഉപയോഗശൂന്യവുമാണ്.

WireGuard-ന്റെ Linux ബിൽഡിൽ, GSO - Generic Segmentation Offloading ഉപയോഗിക്കുന്നത് പ്രയോജനപ്പെടുത്തുന്നു. അദ്ദേഹത്തിന് നന്ദി, ക്ലയന്റ് 64 കിലോബൈറ്റുകളുടെ ഒരു വലിയ പാക്കറ്റ് സൃഷ്ടിക്കുകയും ഒറ്റയടിക്ക് എൻക്രിപ്റ്റ് ചെയ്യുകയും / ഡീക്രിപ്റ്റ് ചെയ്യുകയും ചെയ്യുന്നു. അങ്ങനെ, ക്രിപ്‌റ്റോഗ്രാഫിക് പ്രവർത്തനങ്ങൾ നടപ്പിലാക്കുന്നതിനും നടപ്പിലാക്കുന്നതിനുമുള്ള ചെലവ് കുറയുന്നു. നിങ്ങളുടെ VPN കണക്ഷന്റെ ത്രൂപുട്ട് പരമാവധിയാക്കാൻ നിങ്ങൾ ആഗ്രഹിക്കുന്നുവെങ്കിൽ, ഇത് ഒരു നല്ല ആശയമാണ്.

പക്ഷേ, പതിവുപോലെ, യാഥാർത്ഥ്യം അത്ര ലളിതമല്ല. ഒരു നെറ്റ്‌വർക്ക് അഡാപ്റ്ററിലേക്ക് ഇത്രയും വലിയ പാക്കറ്റ് അയയ്‌ക്കുന്നതിന് അത് നിരവധി ചെറിയ പാക്കറ്റുകളായി മുറിക്കേണ്ടതുണ്ട്. സാധാരണ അയയ്ക്കുന്ന വലുപ്പം 1500 ബൈറ്റുകളാണ്. അതായത്, 64 കിലോബൈറ്റിന്റെ ഭീമൻ 45 പാക്കറ്റുകളായി വിഭജിക്കപ്പെടും (1240 ബൈറ്റുകൾ വിവരങ്ങളും ഐപി തലക്കെട്ടിന്റെ 20 ബൈറ്റുകൾ). പിന്നെ, കുറച്ച് സമയത്തേക്ക്, അവർ നെറ്റ്വർക്ക് അഡാപ്റ്ററിന്റെ പ്രവർത്തനത്തെ പൂർണ്ണമായും തടയും, കാരണം അവ ഒരുമിച്ച് ഒരേസമയം അയയ്ക്കണം. തൽഫലമായി, ഇത് ഒരു മുൻഗണനാ കുതിച്ചുചാട്ടത്തിലേക്ക് നയിക്കും, ഉദാഹരണത്തിന് VoIP പോലുള്ള പാക്കറ്റുകൾ ക്യൂവിൽ നിൽക്കും.

അങ്ങനെ, WireGuard വളരെ ധൈര്യത്തോടെ അവകാശപ്പെടുന്ന ഉയർന്ന ത്രൂപുട്ട് മറ്റ് ആപ്ലിക്കേഷനുകളുടെ നെറ്റ്‌വർക്കിംഗ് മന്ദഗതിയിലാക്കുന്നതിന്റെ ചെലവിൽ നേടിയെടുക്കുന്നു. വയർഗാർഡ് ടീം ഇതിനകം തന്നെയുണ്ട് സ്ഥിരീകരിച്ചു ഇതാണ് എന്റെ നിഗമനം.

എന്നാൽ നമുക്ക് മുന്നോട്ട് പോകാം.

സാങ്കേതിക ഡോക്യുമെന്റേഷനിലെ ബെഞ്ച്മാർക്കുകൾ അനുസരിച്ച്, കണക്ഷൻ 1011 Mbps ത്രോപുട്ട് കാണിക്കുന്നു.

ശ്രദ്ധേയമാണ്.

ഒരു ഗിഗാബിറ്റ് ഇഥർനെറ്റ് കണക്ഷന്റെ പരമാവധി സൈദ്ധാന്തിക ത്രൂപുട്ട് 966 Mbps ആണ് എന്നതിനാൽ ഇത് പ്രത്യേകിച്ചും ശ്രദ്ധേയമാണ്, ഐപി ഹെഡറിന് 1500 ബൈറ്റുകൾ മൈനസ് 20 ബൈറ്റുകൾ, UDP ഹെഡറിന് 8 ബൈറ്റുകൾ, ഹെഡ്ഡറിന് 16 ബൈറ്റുകൾ. വയർഗാർഡ് തന്നെ. പൊതിഞ്ഞ പാക്കറ്റിൽ ഒരു ഐപി തലക്കെട്ടും 20 ബൈറ്റുകൾക്ക് ടിസിപിയിൽ മറ്റൊന്നും ഉണ്ട്. അപ്പോൾ ഈ അധിക ബാൻഡ്‌വിഡ്ത്ത് എവിടെ നിന്ന് വന്നു?

വലിയ ഫ്രെയിമുകളും GSO യുടെ പ്രയോജനങ്ങളും ഞങ്ങൾ മുകളിൽ സംസാരിച്ചു, 9000 ബൈറ്റുകളുടെ ഒരു ഫ്രെയിം സൈസ് സൈദ്ധാന്തികമായി പരമാവധി 1014 Mbps ആയിരിക്കും. സാധാരണയായി അത്തരം ത്രൂപുട്ട് യാഥാർത്ഥ്യത്തിൽ അപ്രാപ്യമാണ്, കാരണം ഇത് വലിയ ബുദ്ധിമുട്ടുകളുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു. അതിനാൽ, ചില നെറ്റ്‌വർക്ക് അഡാപ്റ്ററുകൾ മാത്രം പിന്തുണയ്ക്കുന്ന സൈദ്ധാന്തികമായ പരമാവധി 64 Mbps ഉള്ള 1023 കിലോബൈറ്റിന്റെ തടിച്ച വലിയ ഫ്രെയിമുകൾ ഉപയോഗിച്ചാണ് പരിശോധന നടത്തിയതെന്ന് എനിക്ക് അനുമാനിക്കാം. എന്നാൽ ഇത് യഥാർത്ഥ സാഹചര്യങ്ങളിൽ തികച്ചും അപ്രായോഗികമാണ്, അല്ലെങ്കിൽ നേരിട്ട് ബന്ധിപ്പിച്ച രണ്ട് സ്റ്റേഷനുകൾക്കിടയിൽ മാത്രമേ ഉപയോഗിക്കാൻ കഴിയൂ, പ്രത്യേകമായി ടെസ്റ്റ് ബെഞ്ചിനുള്ളിൽ.

എന്നാൽ ജംബോ ഫ്രെയിമുകളെ ഒട്ടും പിന്തുണയ്‌ക്കാത്ത ഇന്റർനെറ്റ് കണക്ഷൻ ഉപയോഗിച്ച് രണ്ട് ഹോസ്റ്റുകൾക്കിടയിൽ VPN ടണൽ ഫോർവേഡ് ചെയ്യുന്നതിനാൽ, ബെഞ്ചിൽ നേടിയ ഫലം ഒരു മാനദണ്ഡമായി കണക്കാക്കാനാവില്ല. ഇത് കേവലം ഒരു യാഥാർത്ഥ്യബോധമില്ലാത്ത ലബോറട്ടറി നേട്ടമാണ്, അത് യഥാർത്ഥ പോരാട്ട സാഹചര്യങ്ങളിൽ അസാധ്യവും അപ്രായോഗികവുമാണ്.

ഡാറ്റാ സെന്ററിൽ ഇരുന്നിട്ടും എനിക്ക് 9000 ബൈറ്റുകളിൽ കൂടുതൽ ഫ്രെയിമുകൾ കൈമാറാൻ കഴിഞ്ഞില്ല.

യഥാർത്ഥ ജീവിതത്തിൽ പ്രയോഗക്ഷമതയുടെ മാനദണ്ഡം പൂർണ്ണമായും ലംഘിക്കപ്പെട്ടു, ഞാൻ കരുതുന്നതുപോലെ, "അളവ്" എന്നതിന്റെ രചയിതാവ് വ്യക്തമായ കാരണങ്ങളാൽ സ്വയം അപകീർത്തിപ്പെടുത്തി.

പ്രതീക്ഷയുടെ അവസാന തിളക്കം

WireGuard വെബ്‌സൈറ്റ് കണ്ടെയ്‌നറുകളെ കുറിച്ച് ധാരാളം സംസാരിക്കുന്നു, അത് യഥാർത്ഥത്തിൽ എന്തിനുവേണ്ടിയാണ് ഉദ്ദേശിക്കുന്നതെന്ന് വ്യക്തമാകും.

കോൺഫിഗറേഷൻ ആവശ്യമില്ലാത്ത ലളിതവും വേഗതയേറിയതുമായ VPN, ആമസോണിന്റെ ക്ലൗഡിലുള്ള ബൃഹത്തായ ഓർക്കസ്‌ട്രേഷൻ ടൂളുകൾ ഉപയോഗിച്ച് വിന്യസിക്കാനും കോൺഫിഗർ ചെയ്യാനും കഴിയും. പ്രത്യേകിച്ചും, ഞാൻ നേരത്തെ സൂചിപ്പിച്ച AVX512 പോലെയുള്ള ഏറ്റവും പുതിയ ഹാർഡ്‌വെയർ സവിശേഷതകൾ ആമസോൺ ഉപയോഗിക്കുന്നു. ജോലി വേഗത്തിലാക്കാനും x86 അല്ലെങ്കിൽ മറ്റേതെങ്കിലും ആർക്കിടെക്ചറുമായി ബന്ധിപ്പിക്കാതിരിക്കാനുമാണ് ഇത് ചെയ്യുന്നത്.

അവ 9000 ബൈറ്റുകളേക്കാൾ വലിയ ത്രൂപുട്ടും പാക്കറ്റുകളും ഒപ്റ്റിമൈസ് ചെയ്യുന്നു - കണ്ടെയ്‌നറുകൾക്ക് പരസ്പരം ആശയവിനിമയം നടത്താനോ ബാക്കപ്പ് പ്രവർത്തനങ്ങൾക്കോ ​​സ്‌നാപ്പ്‌ഷോട്ടുകൾ സൃഷ്‌ടിക്കുന്നതിനോ ഇതേ കണ്ടെയ്‌നറുകൾ വിന്യസിക്കുന്നതിനോ ഉള്ള വലിയ എൻക്യാപ്‌സുലേറ്റഡ് ഫ്രെയിമുകളായിരിക്കും ഇവ. ഡൈനാമിക് ഐപി വിലാസങ്ങൾ പോലും ഞാൻ വിവരിച്ച സാഹചര്യത്തിൽ WireGuard-ന്റെ പ്രവർത്തനത്തെ ഒരു തരത്തിലും ബാധിക്കില്ല.

നന്നായി കളിച്ചു. ഉജ്ജ്വലമായ നടപ്പാക്കലും വളരെ നേർത്തതും ഏതാണ്ട് റഫറൻസ് പ്രോട്ടോക്കോളും.

എന്നാൽ നിങ്ങൾ പൂർണ്ണമായി നിയന്ത്രിക്കുന്ന ഒരു ഡാറ്റാ സെന്ററിന് പുറത്തുള്ള ഒരു ലോകത്ത് ഇത് യോജിക്കുന്നില്ല. നിങ്ങൾ റിസ്ക് എടുത്ത് WireGuard ഉപയോഗിക്കാൻ തുടങ്ങിയാൽ, എൻക്രിപ്ഷൻ പ്രോട്ടോക്കോളിന്റെ രൂപകൽപ്പനയിലും നടപ്പാക്കലിലും നിങ്ങൾ നിരന്തരമായ വിട്ടുവീഴ്ചകൾ ചെയ്യേണ്ടിവരും.

തീരുമാനം

WireGuard ഇതുവരെ തയ്യാറായിട്ടില്ലെന്ന് എനിക്ക് നിഗമനം ചെയ്യാൻ എളുപ്പമാണ്.

നിലവിലുള്ള പരിഹാരങ്ങളുമായുള്ള നിരവധി പ്രശ്നങ്ങൾക്കുള്ള ഭാരം കുറഞ്ഞതും വേഗത്തിലുള്ളതുമായ പരിഹാരമായാണ് ഇത് വിഭാവനം ചെയ്തത്. നിർഭാഗ്യവശാൽ, ഈ പരിഹാരങ്ങൾക്കായി, മിക്ക ഉപയോക്താക്കൾക്കും പ്രസക്തമായ നിരവധി സവിശേഷതകൾ അദ്ദേഹം ത്യജിച്ചു. അതുകൊണ്ടാണ് ഇതിന് IPsec അല്ലെങ്കിൽ OpenVPN മാറ്റിസ്ഥാപിക്കാൻ കഴിയില്ല.

WireGuard മത്സരാധിഷ്ഠിതമാകുന്നതിന്, അതിന് കുറഞ്ഞത് ഒരു IP വിലാസ ക്രമീകരണവും ഒരു റൂട്ടിംഗും DNS കോൺഫിഗറേഷനും ചേർക്കേണ്ടതുണ്ട്. വ്യക്തമായും, എൻക്രിപ്റ്റ് ചെയ്ത ചാനലുകൾ ഇതാണ്.

സുരക്ഷയാണ് എന്റെ മുൻ‌ഗണന, ഇപ്പോൾ IKE അല്ലെങ്കിൽ TLS ഏതെങ്കിലും തരത്തിൽ വിട്ടുവീഴ്ച ചെയ്യപ്പെടുകയോ തകർന്നുവെന്നോ വിശ്വസിക്കാൻ എനിക്ക് കാരണമില്ല. അവ രണ്ടിലും ആധുനിക എൻക്രിപ്ഷൻ പിന്തുണയ്ക്കുന്നു, പതിറ്റാണ്ടുകളുടെ പ്രവർത്തനത്തിലൂടെ അവ തെളിയിക്കപ്പെട്ടിട്ടുണ്ട്. എന്തെങ്കിലും പുതിയതായതുകൊണ്ട് അത് മികച്ചതാണെന്ന് അർത്ഥമാക്കുന്നില്ല.

നിങ്ങൾ നിയന്ത്രിക്കാത്ത സ്റ്റേഷനുകളുള്ള മൂന്നാം കക്ഷികളുമായി ആശയവിനിമയം നടത്തുമ്പോൾ പരസ്പര പ്രവർത്തനക്ഷമത വളരെ പ്രധാനമാണ്. IPsec യഥാർത്ഥ നിലവാരമാണ്, അത് മിക്കവാറും എല്ലായിടത്തും പിന്തുണയ്ക്കുന്നു. അവൻ പ്രവർത്തിക്കുകയും ചെയ്യുന്നു. അത് എങ്ങനെ കാണപ്പെടുന്നുവെന്നത് പ്രശ്നമല്ല, സിദ്ധാന്തത്തിൽ, ഭാവിയിൽ WireGuard അതിന്റെ വ്യത്യസ്ത പതിപ്പുകളുമായി പോലും പൊരുത്തപ്പെടണമെന്നില്ല.

ഏതൊരു ക്രിപ്‌റ്റോഗ്രാഫിക് പരിരക്ഷയും എത്രയും വേഗം അല്ലെങ്കിൽ പിന്നീട് തകർന്നിരിക്കുന്നു, അതനുസരിച്ച്, മാറ്റിസ്ഥാപിക്കുകയോ അപ്‌ഡേറ്റ് ചെയ്യുകയോ വേണം.

ഈ വസ്‌തുതകളെല്ലാം നിഷേധിക്കുകയും നിങ്ങളുടെ ഐഫോണിനെ നിങ്ങളുടെ ഹോം വർക്ക്‌സ്റ്റേഷനുമായി ബന്ധിപ്പിക്കുന്നതിന് WireGuard ഉപയോഗിക്കാൻ അന്ധമായി ആഗ്രഹിക്കുകയും ചെയ്യുന്നത് നിങ്ങളുടെ തല മണലിൽ ഒട്ടിക്കാനുള്ള ഒരു മാസ്റ്റർ ക്ലാസ് മാത്രമാണ്.

അവലംബം: www.habr.com