तुम्ही वायरगार्ड का वापरू नये

वायरगार्ड अलीकडे खूप लक्ष वेधून घेत आहे, खरं तर तो VPN मध्ये नवीन तारा आहे. पण तो दिसतो तितका चांगला आहे का? IPsec किंवा OpenVPN बदलणे हा उपाय का नाही हे स्पष्ट करण्यासाठी मी काही निरीक्षणांवर चर्चा करू आणि वायरगार्डच्या अंमलबजावणीचे पुनरावलोकन करू इच्छितो.

या लेखात, मी [वायरगार्डच्या आसपास] काही मिथकांना दूर करू इच्छितो. होय, वाचायला बराच वेळ लागेल, म्हणून जर तुम्ही स्वतःला एक कप चहा किंवा कॉफी बनवली नसेल, तर ते करण्याची वेळ आली आहे. माझे गोंधळलेले विचार सुधारल्याबद्दल मी पीटरचे आभार मानू इच्छितो.

वायरगार्डच्या विकासकांना बदनाम करण्याचे, त्यांच्या प्रयत्नांचे किंवा कल्पनांचे अवमूल्यन करण्याचे ध्येय मी स्वत: सेट करत नाही. त्यांचे उत्पादन कार्य करत आहे, परंतु वैयक्तिकरित्या मला वाटते की ते खरोखर जे आहे त्यापेक्षा ते पूर्णपणे भिन्न सादर केले गेले आहे - ते IPsec आणि OpenVPN च्या बदली म्हणून सादर केले गेले आहे, जे खरं तर आता अस्तित्वात नाही.

एक टीप म्हणून, मी जोडू इच्छितो की वायरगार्डच्या अशा स्थितीची जबाबदारी ही त्याबद्दल बोलणाऱ्या मीडियाची आहे, प्रकल्प स्वतःची किंवा त्याच्या निर्मात्यांची नाही.

लिनक्स कर्नलबद्दल अलीकडे फारशी चांगली बातमी नाही. तर, आम्हाला प्रोसेसरच्या राक्षसी असुरक्षांबद्दल सांगण्यात आले, जे सॉफ्टवेअरद्वारे समतल केले गेले होते आणि लिनस टोरवाल्ड्सने त्याबद्दल विकसकाच्या उपयुक्ततावादी भाषेत खूप उद्धटपणे आणि कंटाळवाणेपणे बोलले. शेड्युलर किंवा शून्य-स्तरीय नेटवर्किंग स्टॅक देखील चमकदार मासिकांसाठी फार स्पष्ट विषय नाहीत. आणि येथे वायरगार्ड येतो.

कागदावर, हे सर्व छान वाटते: एक रोमांचक नवीन तंत्रज्ञान.

पण थोडे अधिक बारकाईने पाहू.

वायरगार्ड पांढरा कागद

हा लेख यावर आधारित आहे अधिकृत वायरगार्ड दस्तऐवजीकरणजेसन डोनेनफेल्ड यांनी लिहिलेले. तेथे तो लिनक्स कर्नलमध्ये [WireGuard] ची संकल्पना, उद्देश आणि तांत्रिक अंमलबजावणी स्पष्ट करतो.

पहिले वाक्य असे आहे:

WireGuard […] चे उद्दिष्ट अधिक सुरक्षित, कार्यक्षम आणि वापरण्यास सोपे असताना बहुतेक वापराच्या प्रकरणांमध्ये IPsec आणि इतर लोकप्रिय वापरकर्ता जागा आणि/किंवा TLS आधारित उपाय जसे की OpenVPN दोन्ही बदलणे हे आहे.

अर्थात, सर्व नवीन तंत्रज्ञानाचा मुख्य फायदा म्हणजे त्यांचा साधेपणा [पूर्ववर्तींच्या तुलनेत]. पण व्हीपीएन देखील असावा कार्यक्षम आणि सुरक्षित.

तर, पुढे काय आहे?

तुम्‍हाला [VPN वरून] याची गरज नाही असे तुम्ही म्हटल्यास, तुम्ही येथे वाचन संपवू शकता. तथापि, मी लक्षात घेईन की अशी कार्ये इतर कोणत्याही टनेलिंग तंत्रज्ञानासाठी सेट केलेली आहेत.

वरील कोटातील सर्वात मनोरंजक "बहुतेक प्रकरणांमध्ये" या शब्दांमध्ये आहे, ज्याकडे अर्थातच प्रेसने दुर्लक्ष केले होते. आणि म्हणून, या निष्काळजीपणामुळे निर्माण झालेल्या अराजकतेमुळे आपण जिथे संपलो तिथेच आहोत - या लेखात.

वायरगार्ड माझे [IPsec] साइट-टू-साइट VPN बदलेल का?

नाही. सिस्को, जुनिपर आणि इतर यांसारखे मोठे विक्रेते त्यांच्या उत्पादनांसाठी वायरगार्ड खरेदी करतील अशी कोणतीही शक्यता नाही. तसे करण्याची काही मोठी गरज असल्याशिवाय ते चालताना "पासिंग ट्रेन्सवर उडी" मारत नाहीत. नंतर, त्यांना हवे असले तरीही ते कदाचित त्यांची वायरगार्ड उत्पादने बोर्डवर का मिळवू शकणार नाहीत याची काही कारणे मी जाणून घेईन.

वायरगार्ड माझ्या रोडवॉरियरला माझ्या लॅपटॉपवरून डेटा सेंटरवर घेऊन जाईल का?

नाही. सध्या, वायरगार्डमध्ये असे काहीतरी करण्यास सक्षम होण्यासाठी मोठ्या संख्येने महत्त्वपूर्ण वैशिष्ट्ये लागू केलेली नाहीत. उदाहरणार्थ, ते टनेल सर्व्हरच्या बाजूने डायनॅमिक आयपी पत्ते वापरू शकत नाही आणि हे केवळ उत्पादनाच्या अशा वापराच्या संपूर्ण परिस्थितीला खंडित करते.

IPFire बर्‍याचदा स्वस्त इंटरनेट लिंक्ससाठी वापरला जातो, जसे की DSL किंवा केबल कनेक्शन. हे लहान किंवा मध्यम व्यवसायांसाठी अर्थपूर्ण आहे ज्यांना जलद फायबरची आवश्यकता नाही. [अनुवादकाकडून टीप: हे विसरू नका की दळणवळणाच्या बाबतीत, रशिया आणि काही CIS देश युरोप आणि युनायटेड स्टेट्सपेक्षा खूप पुढे आहेत, कारण आम्ही आमचे नेटवर्क खूप नंतर बनवायला सुरुवात केली आणि इथरनेट आणि फायबर ऑप्टिक नेटवर्क्सच्या आगमनाने. मानक, आमच्यासाठी पुनर्बांधणी करणे सोपे होते. EU किंवा USA च्या समान देशांमध्ये, 3-5 Mbps च्या वेगाने xDSL ब्रॉडबँड प्रवेश अजूनही सामान्य आहे आणि फायबर ऑप्टिक कनेक्शनसाठी आमच्या मानकांनुसार काही अवास्तव पैसे मोजावे लागतात. म्हणून, लेखाचा लेखक डीएसएल किंवा केबल कनेक्शनचा आदर्श म्हणून बोलतो, आणि प्राचीन काळातील नाही.] तथापि, DSL, केबल, LTE (आणि इतर वायरलेस प्रवेश पद्धती) डायनॅमिक IP पत्ते आहेत. अर्थात, कधीकधी ते अनेकदा बदलत नाहीत, परंतु ते बदलतात.

नावाचा एक उपप्रकल्प आहे "wg-डायनॅमिक", जे ही कमतरता दूर करण्यासाठी वापरकर्ता स्पेस डिमन जोडते. वर वर्णन केलेल्या वापरकर्त्याच्या परिस्थितीमध्ये एक मोठी समस्या म्हणजे डायनॅमिक IPv6 अॅड्रेसिंगची तीव्रता.

वितरकाच्या दृष्टिकोनातून, हे सर्व काही फारसे चांगले दिसत नाही. प्रोटोकॉल साधे आणि स्वच्छ ठेवणे हे डिझाइन उद्दिष्टांपैकी एक होते.

दुर्दैवाने, हे सर्व प्रत्यक्षात खूप सोपे आणि आदिम बनले आहे, जेणेकरून हे संपूर्ण डिझाइन वास्तविक वापरात व्यवहार्य होण्यासाठी आम्हाला अतिरिक्त सॉफ्टवेअर वापरावे लागेल.

वायरगार्ड वापरणे इतके सोपे आहे का?

अजून नाही. मी असे म्हणत नाही की वायरगार्ड दोन बिंदूंमधील बोगद्यासाठी कधीही चांगला पर्याय असू शकत नाही, परंतु आत्तासाठी ते असायला हवे असलेल्या उत्पादनाची फक्त अल्फा आवृत्ती आहे.

पण मग तो प्रत्यक्षात काय करतो? IPsec राखणे खरोखर इतके कठीण आहे का?

साहजिकच नाही. IPsec विक्रेत्याने याचा विचार केला आहे आणि त्यांचे उत्पादन IPFire सारख्या इंटरफेससह पाठवले आहे.

IPsec वर VPN बोगदा सेट करण्यासाठी, तुम्हाला कॉन्फिगरेशनमध्ये प्रवेश करण्यासाठी आवश्यक असलेल्या डेटाच्या पाच संचांची आवश्यकता असेल: तुमचा स्वतःचा सार्वजनिक IP पत्ता, प्राप्त करणार्‍या पक्षाचा सार्वजनिक IP पत्ता, सबनेट ज्याद्वारे तुम्ही सार्वजनिक करू इच्छिता. हे VPN कनेक्शन आणि पूर्व-सामायिक की. अशा प्रकारे, VPN काही मिनिटांत सेट केले जाते आणि कोणत्याही विक्रेत्याशी सुसंगत असते.

दुर्दैवाने, या कथेला काही अपवाद आहेत. ज्याने IPsec वरून ओपनबीएसडी मशीनवर जाण्याचा प्रयत्न केला आहे त्याला मी कशाबद्दल बोलत आहे हे माहित आहे. आणखी काही वेदनादायक उदाहरणे आहेत, परंतु खरं तर, IPsec वापरण्यासाठी अनेक चांगल्या पद्धती आहेत.

प्रोटोकॉल जटिलतेबद्दल

अंतिम वापरकर्त्याला प्रोटोकॉलच्या जटिलतेबद्दल काळजी करण्याची गरज नाही.

जर आपण अशा जगात राहिलो असतो जिथे वापरकर्त्याची ही खरी चिंता होती, तर दहा वर्षांपूर्वी तयार केलेल्या SIP, H.323, FTP आणि इतर प्रोटोकॉल्सपासून आपली सुटका झाली असती जी NAT बरोबर काम करत नाहीत.

WireGuard पेक्षा IPsec अधिक जटिल का आहे याची कारणे आहेत: ते बरेच काही करते. उदाहरणार्थ, लॉगिन / पासवर्ड किंवा EAP सह सिम कार्ड वापरून वापरकर्ता प्रमाणीकरण. त्यात नवीन जोडण्याची विस्तारित क्षमता आहे क्रिप्टोग्राफिक आदिम.

आणि वायरगार्डकडे ते नाही.

आणि याचा अर्थ असा की वायरगार्ड कधीतरी खंडित होईल, कारण क्रिप्टोग्राफिक आदिमांपैकी एक कमकुवत होईल किंवा पूर्णपणे तडजोड होईल. तांत्रिक दस्तऐवजीकरणाचे लेखक असे म्हणतात:

हे लक्षात घेण्यासारखे आहे की वायरगार्ड क्रिप्टोग्राफिकदृष्ट्या अभिमत आहे. हे जाणूनबुजून सिफर आणि प्रोटोकॉलच्या लवचिकतेचा अभाव आहे. अंतर्निहित प्रिमिटिव्हमध्ये गंभीर छिद्र आढळल्यास, सर्व शेवटचे बिंदू अद्यतनित करणे आवश्यक आहे. SLL/TLS भेद्यतेच्या चालू प्रवाहावरून तुम्ही बघू शकता, एन्क्रिप्शनची लवचिकता आता कमालीची वाढली आहे.

शेवटचे वाक्य अगदी बरोबर आहे.

कोणते एन्क्रिप्शन वापरायचे यावर एकमत होणे IKE आणि TLS सारखे प्रोटोकॉल बनवते अधिक जटिल खूप क्लिष्ट? होय, TLS/SSL मध्ये असुरक्षा सामान्य आहेत आणि त्यांना पर्याय नाही.

वास्तविक समस्यांकडे दुर्लक्ष केल्यावर

कल्पना करा की तुमच्याकडे जगभरात कुठेतरी 200 कॉम्बॅट क्लायंटसह व्हीपीएन सर्व्हर आहे. हे एक तेही मानक वापर केस आहे. तुम्हाला एन्क्रिप्शन बदलायचे असल्यास, तुम्हाला या लॅपटॉप, स्मार्टफोन्स आणि अशाच वर वायरगार्डच्या सर्व प्रतींवर अपडेट वितरित करणे आवश्यक आहे. एकाचवेळी वितरित हे अक्षरशः अशक्य आहे. हे करण्याचा प्रयत्न करणार्‍या प्रशासकांना आवश्यक कॉन्फिगरेशन्स तैनात करण्यासाठी काही महिने लागतील आणि मध्यम आकाराच्या कंपन्यांना अशी घटना घडवून आणण्यासाठी अक्षरशः वर्षे लागतील.

IPsec आणि OpenVPN सिफर वाटाघाटी वैशिष्ट्य देतात. म्हणून, काही काळासाठी ज्यानंतर तुम्ही नवीन एन्क्रिप्शन चालू करता, जुने देखील कार्य करेल. हे सध्याच्या ग्राहकांना नवीन आवृत्तीमध्ये अपग्रेड करण्यास अनुमती देईल. अपडेट रोल आउट केल्यानंतर, तुम्ही फक्त असुरक्षित एन्क्रिप्शन बंद करा. आणि तेच! तयार! तू सुंदर आहे! ग्राहकांना ते लक्षातही येणार नाही.

मोठ्या डिप्लॉयमेंटसाठी हे खरोखर एक सामान्य प्रकरण आहे आणि अगदी OpenVPN ला यात काही अडचण आहे. बॅकवर्ड कंपॅटिबिलिटी महत्त्वाची आहे, आणि जरी तुम्ही कमकुवत एन्क्रिप्शन वापरत असला तरीही, अनेकांसाठी, हे व्यवसाय बंद करण्याचे कारण नाही. कारण यामुळे शेकडो ग्राहकांचे काम ठप्प होणार आहे.

WireGuard टीमने त्यांचा प्रोटोकॉल सोपा केला आहे, परंतु त्यांच्या बोगद्यातील दोन्ही समवयस्कांवर सतत नियंत्रण नसलेल्या लोकांसाठी पूर्णपणे निरुपयोगी आहे. माझ्या अनुभवानुसार, ही सर्वात सामान्य परिस्थिती आहे.

क्रिप्टोग्राफी!

परंतु वायरगार्ड वापरत असलेले हे मनोरंजक नवीन एन्क्रिप्शन काय आहे?

वायरगार्ड की एक्सचेंजसाठी Curve25519, एनक्रिप्शनसाठी ChaCha20 आणि डेटा ऑथेंटिकेशनसाठी Poly1305 वापरते. हे हॅश कीसाठी SipHash आणि हॅशिंगसाठी BLAKE2 सह देखील कार्य करते.

ChaCha20-Poly1305 IPsec आणि OpenVPN (TLS वर) साठी प्रमाणित आहे.

हे स्पष्ट आहे की डॅनियल बर्नस्टाईनचा विकास बर्याचदा वापरला जातो. BLAKE2 हा BLAKE चा उत्तराधिकारी आहे, जो SHA-3 फायनलिस्ट आहे जो SHA-2 शी समानतेमुळे जिंकू शकला नाही. जर SHA-2 तोडायचे असेल तर, BLAKE सोबतही तडजोड होण्याची चांगली शक्यता होती.

IPsec आणि OpenVPN ला त्यांच्या डिझाइनमुळे SipHash ची आवश्यकता नाही. त्यामुळे त्यांच्यासोबत सध्या वापरता येणार नाही अशी एकमेव गोष्ट म्हणजे BLAKE2, आणि ते फक्त प्रमाणित होईपर्यंत. ही एक मोठी कमतरता नाही, कारण VPNs अखंडता निर्माण करण्यासाठी HMAC वापरतात, जे MD5 च्या संयोगाने देखील एक मजबूत उपाय मानले जाते.

म्हणून मी निष्कर्षापर्यंत पोहोचलो की सर्व VPN मध्ये क्रिप्टोग्राफिक साधनांचा जवळजवळ समान संच वापरला जातो. म्हणून, जेव्हा एन्क्रिप्शन किंवा प्रसारित डेटाच्या अखंडतेचा विचार केला जातो तेव्हा वायरगार्ड इतर कोणत्याही वर्तमान उत्पादनापेक्षा अधिक किंवा कमी सुरक्षित नाही.

परंतु तरीही ही सर्वात महत्वाची गोष्ट नाही, जी प्रकल्पाच्या अधिकृत दस्तऐवजीकरणानुसार लक्ष देण्यासारखे आहे. शेवटी, मुख्य गोष्ट वेग आहे.

वायरगार्ड इतर व्हीपीएन सोल्यूशन्सपेक्षा वेगवान आहे का?

थोडक्यात: नाही, वेगवान नाही.

ChaCha20 हे स्ट्रीम सिफर आहे जे सॉफ्टवेअरमध्ये लागू करणे सोपे आहे. हे एका वेळी एक बिट एन्क्रिप्ट करते. AES सारखे ब्लॉक प्रोटोकॉल एका वेळी 128 बिट ब्लॉक एन्क्रिप्ट करतात. हार्डवेअर समर्थन कार्यान्वित करण्यासाठी बरेच ट्रांझिस्टर आवश्यक आहेत, त्यामुळे मोठ्या प्रोसेसर AES-NI सह येतात, एक सूचना सेट विस्तार जो कूटबद्धीकरण प्रक्रियेची काही कार्ये वेगवान करण्यासाठी करतो.

एईएस-एनआय कधीही स्मार्टफोनमध्ये येणार नाही अशी अपेक्षा होती [पण तसे झाले — अंदाजे. प्रति.] यासाठी, ChaCha20 हा हलका, बॅटरी वाचवणारा पर्याय म्हणून विकसित करण्यात आला आहे. त्यामुळे, तुमच्यासाठी ही बातमी असू शकते की आज तुम्ही खरेदी करू शकणार्‍या प्रत्येक स्मार्टफोनमध्ये काही प्रकारचे AES प्रवेग आहे आणि ChaCha20 पेक्षा या एनक्रिप्शनसह जलद आणि कमी उर्जा वापरासह चालते.

अर्थात, गेल्या काही वर्षांत खरेदी केलेल्या प्रत्येक डेस्कटॉप/सर्व्हर प्रोसेसरमध्ये AES-NI आहे.

त्यामुळे, प्रत्येक परिस्थितीमध्ये AES चा ChaCha20 ला मागे टाकेल अशी माझी अपेक्षा आहे. WireGuard च्या अधिकृत दस्तऐवजात नमूद केले आहे की AVX512 सह, ChaCha20-Poly1305 AES-NI पेक्षा जास्त कामगिरी करेल, परंतु हे निर्देश सेट विस्तार फक्त मोठ्या CPU वर उपलब्ध असेल, जे पुन्हा लहान आणि अधिक मोबाइल हार्डवेअरसाठी मदत करणार नाही, जे नेहमी AES सह जलद असेल. - एन.आय.

मला खात्री नाही की हे वायरगार्डच्या विकासादरम्यान दिसले असते की नाही, परंतु आज ही वस्तुस्थिती एकट्या एनक्रिप्शनवर खिळलेली आहे ही एक कमतरता आहे जी कदाचित त्याच्या ऑपरेशनवर फारसा परिणाम करणार नाही.

IPsec तुम्हाला तुमच्या केससाठी कोणते एन्क्रिप्शन सर्वोत्कृष्ट आहे ते निवडण्याची परवानगी देते. आणि अर्थातच, हे आवश्यक आहे, उदाहरणार्थ, आपण VPN कनेक्शनद्वारे 10 किंवा अधिक गीगाबाइट डेटा हस्तांतरित करू इच्छित असल्यास.

लिनक्स मध्ये एकत्रीकरण समस्या

WireGuard ने आधुनिक एन्क्रिप्शन प्रोटोकॉल निवडले असले तरी, यामुळे आधीच अनेक समस्या निर्माण होतात. आणि म्हणून, बॉक्सच्या बाहेर कर्नलद्वारे समर्थित असलेल्या गोष्टी वापरण्याऐवजी, लिनक्समध्ये या आदिम घटकांच्या कमतरतेमुळे वायरगार्डचे एकत्रीकरण बर्याच वर्षांपासून विलंबित आहे.

इतर ऑपरेटिंग सिस्टीमवर परिस्थिती काय आहे याची मला पूर्ण खात्री नाही, परंतु ती कदाचित लिनक्सपेक्षा फारशी वेगळी नाही.

वास्तव कसे दिसते?

दुर्दैवाने, प्रत्येक वेळी जेव्हा एखादा क्लायंट मला त्यांच्यासाठी व्हीपीएन कनेक्शन सेट करण्यास सांगतो तेव्हा, ते कालबाह्य क्रेडेन्शियल्स आणि एन्क्रिप्शन वापरत असल्याची समस्या मला येते. MD3 च्या संयोगाने 5DES अजूनही सामान्य प्रथा आहे, जसे AES-256 आणि SHA1. आणि जरी नंतरचे थोडे चांगले असले तरी, हे 2020 मध्ये वापरले जावे असे नाही.

की एक्सचेंजसाठी नेहमी RSA वापरले जाते - एक धीमे परंतु बऱ्यापैकी सुरक्षित साधन.

माझे क्लायंट सीमाशुल्क अधिकारी आणि इतर सरकारी संस्था आणि संस्थांशी, तसेच मोठ्या कॉर्पोरेशनशी संबंधित आहेत ज्यांची नावे जगभरात ओळखली जातात. ते सर्व दशकांपूर्वी तयार केलेला विनंती फॉर्म वापरतात आणि SHA-512 वापरण्याची क्षमता कधीही जोडली गेली नव्हती. मी असे म्हणू शकत नाही की याचा कसा तरी स्पष्टपणे तांत्रिक प्रगतीवर परिणाम होतो, परंतु स्पष्टपणे ते कॉर्पोरेट प्रक्रिया मंदावते.

हे पाहून मला वेदना होतात, कारण IPsec ने 2005 पासून लंबवर्तुळाकार वक्रांना समर्थन दिले आहे. Curve25519 देखील नवीन आणि वापरासाठी उपलब्ध आहे. कॅमेलिया आणि ChaCha20 सारखे AES चे पर्याय देखील आहेत, परंतु हे सर्व सिस्को आणि इतर सारख्या मोठ्या विक्रेत्यांकडून समर्थित नाहीत.

आणि लोक त्याचा फायदा घेतात. अनेक सिस्को किट्स आहेत, सिस्को सोबत काम करण्यासाठी अनेक किट डिझाइन केलेले आहेत. ते या विभागातील मार्केट लीडर आहेत आणि त्यांना कोणत्याही प्रकारच्या इनोव्हेशनमध्ये फारसा रस नाही.

होय, परिस्थिती [कॉर्पोरेट विभागातील] भयंकर आहे, परंतु वायरगार्डमुळे आम्हाला कोणतेही बदल दिसणार नाहीत. विक्रेत्यांना कदाचित ते आधीपासून वापरत असलेल्या टूलिंग आणि एन्क्रिप्शनसह कार्यप्रदर्शन समस्या कधीही दिसणार नाहीत, त्यांना IKEv2 मध्ये कोणतीही समस्या दिसणार नाही आणि म्हणून ते पर्याय शोधत नाहीत.

सर्वसाधारणपणे, आपण कधीही सिस्को सोडण्याचा विचार केला आहे का?

बेंचमार्क

आणि आता WireGuard दस्तऐवजीकरणातील बेंचमार्ककडे वळू. जरी हा [दस्तऐवज] वैज्ञानिक लेख नसला तरी, विकासकांनी अधिक वैज्ञानिक दृष्टीकोन घ्यावा किंवा संदर्भ म्हणून वैज्ञानिक दृष्टिकोन वापरावा अशी माझी अपेक्षा होती. कोणतेही बेंचमार्क जर ते पुनरुत्पादित केले जाऊ शकत नसतील तर ते निरुपयोगी आहेत आणि प्रयोगशाळेत ते मिळवले जातात तेव्हा आणखी निरुपयोगी आहेत.

वायरगार्डच्या लिनक्स बिल्डमध्ये, ते GSO - जेनेरिक सेगमेंटेशन ऑफलोडिंग वापरण्याचा फायदा घेते. त्याचे आभार, क्लायंट 64 किलोबाइट्सचे एक मोठे पॅकेट तयार करतो आणि ते एकाच वेळी एन्क्रिप्ट / डिक्रिप्ट करतो. अशा प्रकारे, क्रिप्टोग्राफिक ऑपरेशन्सची मागणी आणि अंमलबजावणीची किंमत कमी होते. तुम्हाला तुमच्या VPN कनेक्शनचे थ्रूपुट वाढवायचे असल्यास, ही चांगली कल्पना आहे.

पण, नेहमीप्रमाणे, वास्तव इतके सोपे नाही. एवढ्या मोठ्या पॅकेटला नेटवर्क अॅडॉप्टरवर पाठवताना ते अनेक लहान पॅकेटमध्ये कापले जाणे आवश्यक आहे. सामान्य पाठवण्याचा आकार 1500 बाइट्स आहे. म्हणजेच, आमचे 64 किलोबाइट्सचे जायंट 45 पॅकेट्समध्ये (माहितीचे 1240 बाइट्स आणि IP हेडरचे 20 बाइट्स) मध्ये विभागले जाईल. नंतर, थोड्या काळासाठी, ते नेटवर्क अॅडॉप्टरचे कार्य पूर्णपणे अवरोधित करतील, कारण ते एकत्र आणि एकाच वेळी पाठवले जाणे आवश्यक आहे. परिणामी, यामुळे प्राधान्य उडी मिळेल आणि VoIP सारखी पॅकेट्स, उदाहरणार्थ, रांगेत असतील.

अशा प्रकारे, WireGuard इतक्या धैर्याने दावा करते की उच्च थ्रूपुट इतर अनुप्रयोगांचे नेटवर्किंग कमी करण्याच्या खर्चावर प्राप्त होते. आणि वायरगार्ड टीम आधीच आहे पुष्टी हा माझा निष्कर्ष आहे.

पण पुढे जाऊया.

तांत्रिक दस्तऐवजीकरणातील बेंचमार्कनुसार, कनेक्शन 1011 एमबीपीएस थ्रूपुट दर्शवते.

प्रभावशाली.

हे विशेषतः प्रभावी आहे कारण एका गिगाबिट इथरनेट कनेक्शनचे कमाल सैद्धांतिक थ्रूपुट 966 एमबीपीएस आहे ज्याचे पॅकेट आकार 1500 बाइट्स वजा 20 बाइट्स IP हेडरसाठी, 8 बाइट्स UDP शीर्षलेखासाठी आणि हेडरसाठी 16 बाइट्स आहे. वायरगार्ड स्वतः . एनकॅप्स्युलेटेड पॅकेटमध्ये आणखी एक IP हेडर आहे आणि 20 बाइट्ससाठी TCP मध्ये आणखी एक आहे. मग ही अतिरिक्त बँडविड्थ आली कुठून?

विशाल फ्रेम्स आणि GSO च्या फायद्यांसह आम्ही वर बोललो, 9000 बाइट्सच्या फ्रेम आकारासाठी सैद्धांतिक कमाल 1014 Mbps असेल. सहसा असे थ्रुपुट प्रत्यक्षात अप्राप्य असते, कारण ते मोठ्या अडचणींशी संबंधित असते. अशाप्रकारे, मी फक्त असे गृहीत धरू शकतो की चाचणी 64 किलोबाइट्सच्या 1023 Mbps च्या सैद्धांतिक कमाल आकाराच्या फ्रेम्स वापरून केली गेली होती, जी केवळ काही नेटवर्क अडॅप्टरद्वारे समर्थित आहे. परंतु वास्तविक परिस्थितीत हे पूर्णपणे लागू होत नाही, किंवा केवळ चाचणी बेंचमध्ये थेट जोडलेल्या दोन स्थानकांदरम्यानच वापरले जाऊ शकते.

पण VPN बोगदा जंबो फ्रेम्सना अजिबात सपोर्ट न करणारे इंटरनेट कनेक्शन वापरून दोन होस्ट्समध्ये फॉरवर्ड केले जात असल्याने, बेंचवर मिळालेला निकाल बेंचमार्क म्हणून घेतला जाऊ शकत नाही. ही केवळ एक अवास्तव प्रयोगशाळा उपलब्धी आहे जी वास्तविक लढाईच्या परिस्थितीत अशक्य आणि लागू होत नाही.

डेटा सेंटरमध्ये बसूनही मी 9000 बाइट्सपेक्षा मोठ्या फ्रेम्स ट्रान्सफर करू शकलो नाही.

वास्तविक जीवनात लागू होण्याच्या निकषाचे पूर्णपणे उल्लंघन केले आहे आणि माझ्या मते, "मापन" च्या लेखकाने स्पष्ट कारणांमुळे स्वतःला गंभीरपणे बदनाम केले आहे.

आशेचा शेवटचा किरण

वायरगार्ड वेबसाइट कंटेनरबद्दल बरेच काही बोलते आणि ते खरोखर कशासाठी आहे हे स्पष्ट होते.

एक साधा आणि वेगवान VPN ज्यासाठी कोणत्याही कॉन्फिगरेशनची आवश्यकता नाही आणि Amazon सारख्या मोठ्या ऑर्केस्ट्रेशन साधनांसह त्यांच्या क्लाउडमध्ये तैनात आणि कॉन्फिगर केले जाऊ शकते. विशेषत:, Amazon नवीनतम हार्डवेअर वैशिष्ट्ये वापरते ज्याचा मी आधी उल्लेख केला आहे, जसे की AVX512. हे कामाला गती देण्यासाठी आणि x86 किंवा इतर कोणत्याही आर्किटेक्चरशी जोडले जाऊ नये म्हणून केले जाते.

ते 9000 बाइट्सपेक्षा मोठे थ्रुपुट आणि पॅकेट्स ऑप्टिमाइझ करतात - कंटेनर्स एकमेकांशी संवाद साधण्यासाठी किंवा बॅकअप ऑपरेशन्ससाठी, स्नॅपशॉट्स तयार करण्यासाठी किंवा हे समान कंटेनर तैनात करण्यासाठी या मोठ्या एन्कॅप्स्युलेटेड फ्रेम्स असतील. डायनॅमिक IP पत्ते देखील मी वर्णन केलेल्या परिस्थितीच्या बाबतीत वायरगार्डच्या ऑपरेशनवर कोणत्याही प्रकारे परिणाम करणार नाहीत.

चांगला खेळला. चमकदार अंमलबजावणी आणि अतिशय पातळ, जवळजवळ संदर्भ प्रोटोकॉल.

पण तुम्ही पूर्णपणे नियंत्रित करत असलेल्या डेटा सेंटरच्या बाहेरच्या जगात ते बसत नाही. जर तुम्ही जोखीम पत्करली आणि वायरगार्ड वापरण्यास सुरुवात केली, तर तुम्हाला एनक्रिप्शन प्रोटोकॉलच्या डिझाइन आणि अंमलबजावणीमध्ये सतत तडजोड करावी लागेल.

निष्कर्ष

वायरगार्ड अद्याप तयार नाही असा निष्कर्ष काढणे माझ्यासाठी सोपे आहे.

विद्यमान उपायांसह अनेक समस्यांचे हलके आणि द्रुत समाधान म्हणून याची कल्पना करण्यात आली. दुर्दैवाने, या उपायांच्या फायद्यासाठी, त्याने बर्‍याच वैशिष्ट्यांचा त्याग केला जो बहुतेक वापरकर्त्यांसाठी उपयुक्त असेल. म्हणूनच ते IPsec किंवा OpenVPN पुनर्स्थित करू शकत नाही.

WireGuard स्पर्धात्मक होण्यासाठी, त्याला किमान एक IP पत्ता सेटिंग आणि राउटिंग आणि DNS कॉन्फिगरेशन जोडणे आवश्यक आहे. अर्थात, एनक्रिप्टेड चॅनेल यासाठीच आहेत.

सुरक्षितता ही माझी सर्वोच्च प्राथमिकता आहे, आणि आत्ता मला विश्वास ठेवण्याचे कोणतेही कारण नाही की IKE किंवा TLS ची कसली तरी तडजोड किंवा तुटलेली आहे. आधुनिक एन्क्रिप्शन या दोन्हीमध्ये समर्थित आहे आणि ते अनेक दशकांच्या ऑपरेशनद्वारे सिद्ध झाले आहेत. फक्त काहीतरी नवीन आहे याचा अर्थ ते चांगले आहे असे नाही.

इंटरऑपरेबिलिटी अत्यंत महत्त्वाची असते जेव्हा तुम्ही तृतीय पक्षांशी संवाद साधता ज्यांचे स्टेशन तुम्ही नियंत्रित करत नाही. IPsec हे वास्तविक मानक आहे आणि जवळजवळ सर्वत्र समर्थित आहे. आणि तो काम करतो. आणि ते कसे दिसते हे महत्त्वाचे नाही, सिद्धांततः, भविष्यात वायरगार्ड स्वतःच्या वेगवेगळ्या आवृत्त्यांसह सुसंगत असू शकत नाही.

कोणतेही क्रिप्टोग्राफिक संरक्षण लवकर किंवा नंतर तुटलेले आहे आणि त्यानुसार, पुनर्स्थित किंवा अद्यतनित करणे आवश्यक आहे.

या सर्व तथ्यांना नकार देणे आणि तुमचा आयफोन तुमच्या होम वर्कस्टेशनशी जोडण्यासाठी वायरगार्ड वापरण्याची इच्छा बाळगणे हा केवळ तुमचे डोके वाळूत चिकटवून ठेवण्याचा एक मास्टर क्लास आहे.

स्त्रोत: www.habr.com