वायरगार्ड भविष्यातील महान व्हीपीएन आहे का?

अशी वेळ आली आहे जेव्हा व्हीपीएन यापुढे दाढी असलेल्या सिस्टम प्रशासकांचे काही विदेशी साधन नाही. वापरकर्त्यांची वेगवेगळी कार्ये आहेत, परंतु वस्तुस्थिती अशी आहे की प्रत्येकाला व्हीपीएन आवश्यक आहे.

सध्याच्या VPN सोल्यूशन्सची समस्या अशी आहे की ते योग्यरितीने कॉन्फिगर करणे कठीण आहे, देखभाल करणे महाग आहे आणि शंकास्पद गुणवत्तेचा वारसा कोड पूर्ण आहे.

काही वर्षांपूर्वी, कॅनेडियन माहिती सुरक्षा तज्ञ जेसन ए. डोनेनफेल्ड यांनी ठरवले की त्यांच्याकडे ते पुरेसे आहे आणि त्यावर काम करण्यास सुरुवात केली. वायरगुर्ड. वायरगार्ड आता लिनक्स कर्नलमध्ये समाविष्ट करण्यासाठी तयार केले जात आहे आणि कडून प्रशंसा देखील मिळाली आहे लिनस टॉरवाल्ड्स आणि मध्ये यूएस सिनेट.

इतर व्हीपीएन सोल्यूशन्सपेक्षा वायरगार्डचे दावा केलेले फायदे:

• वापरण्यास सोप.
• आधुनिक क्रिप्टोग्राफी वापरते: नॉइज प्रोटोकॉल फ्रेमवर्क, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF, इ.
• संक्षिप्त, वाचनीय कोड, भेद्यतेसाठी तपास करणे सोपे.
• उच्च कार्यक्षमता.
• स्पष्ट आणि विस्तृत तपशील.

चांदीची गोळी सापडली आहे का? OpenVPN आणि IPSec दफन करण्याची वेळ आली आहे का? मी याला सामोरे जाण्याचा निर्णय घेतला आणि त्याच वेळी मी ते केले वैयक्तिक VPN सर्व्हर स्वयंचलितपणे स्थापित करण्यासाठी स्क्रिप्ट.

कार्यरत तत्त्वे

ऑपरेटिंग तत्त्वांचे वर्णन यासारखे केले जाऊ शकते:

• एक वायरगार्ड इंटरफेस तयार केला जातो आणि त्याला एक खाजगी की आणि IP पत्ता नियुक्त केला जातो. इतर समवयस्कांच्या सेटिंग्ज लोड केल्या आहेत: त्यांच्या सार्वजनिक की, IP पत्ते इ.
• वायरगार्ड इंटरफेसवर येणारे सर्व आयपी पॅकेट्स यूडीपीमध्ये एन्कॅप्स्युलेट केले जातात आणि सुरक्षितपणे वितरित इतर समवयस्क.
• क्लायंट सेटिंग्जमध्ये सर्व्हरचा सार्वजनिक IP पत्ता निर्दिष्ट करतात. जेव्हा क्लायंटकडून अचूक प्रमाणीकृत डेटा प्राप्त होतो तेव्हा सर्व्हर आपोआप त्यांचे बाह्य पत्ते ओळखतो.
• सर्व्हर त्याच्या कामात व्यत्यय न आणता सार्वजनिक IP पत्ता बदलू शकतो. त्याच वेळी, ते कनेक्ट केलेल्या क्लायंटना एक अलर्ट पाठवेल आणि ते फ्लायवर त्यांचे कॉन्फिगरेशन अपडेट करतील.
• रूटिंगची संकल्पना वापरली जाते क्रिप्टोकी राउटिंग. WireGuard पीअरच्या सार्वजनिक कीवर आधारित पॅकेट स्वीकारतो आणि पाठवतो. जेव्हा सर्व्हर योग्यरित्या प्रमाणीकृत पॅकेट डिक्रिप्ट करतो, तेव्हा त्याचे src फील्ड तपासले जाते. जर ते कॉन्फिगरेशनशी जुळत असेल allowed-ips प्रमाणीकृत पीअर, पॅकेट वायरगार्ड इंटरफेसद्वारे प्राप्त होते. आउटगोइंग पॅकेट पाठवताना, संबंधित प्रक्रिया होते: पॅकेटचे dst फील्ड घेतले जाते आणि त्यावर आधारित, संबंधित पीअर निवडला जातो, पॅकेट त्याच्या कीसह स्वाक्षरी केली जाते, पीअरच्या कीसह कूटबद्ध केली जाते आणि रिमोट एंडपॉइंटवर पाठविली जाते. .

WireGuard चे सर्व कोर लॉजिक कोडच्या 4 हजार पेक्षा कमी ओळी घेते, तर OpenVPN आणि IPSec मध्ये शेकडो हजार ओळी आहेत. आधुनिक क्रिप्टोग्राफिक अल्गोरिदमला समर्थन देण्यासाठी, लिनक्स कर्नलमध्ये नवीन क्रिप्टोग्राफिक API समाविष्ट करण्याचा प्रस्ताव आहे. झिंक. ही चांगली कल्पना आहे का, अशी चर्चा सध्या सुरू आहे.

उत्पादकता

WireGuard तेथे कर्नल मॉड्यूल म्हणून कार्यान्वित केल्यामुळे (OpenVPN आणि IPSec च्या तुलनेत) कमाल कार्यक्षमतेचा फायदा लिनक्स सिस्टमवर लक्षात येईल. याव्यतिरिक्त, macOS, Android, iOS, FreeBSD आणि OpenBSD समर्थित आहेत, परंतु त्यामध्ये WireGuard पुढील सर्व कार्यप्रदर्शन परिणामांसह वापरकर्त्यांच्या ठिकाणी चालते. Windows समर्थन नजीकच्या भविष्यात जोडले जाण्याची अपेक्षा आहे.

सह बेंचमार्क परिणाम अधिकृत साइट:

माझा वापर अनुभव

मी VPN तज्ञ नाही. मी एकदा OpenVPN मॅन्युअली सेट केले होते आणि ते खूप कंटाळवाणे होते आणि मी IPSec वापरूनही पाहिले नाही. बरेच निर्णय घ्यायचे आहेत, स्वतःला पायात गोळी घालणे खूप सोपे आहे. म्हणून, सर्व्हर कॉन्फिगर करण्यासाठी मी नेहमी तयार स्क्रिप्ट वापरतो.

तर, वायरगार्ड, माझ्या दृष्टिकोनातून, सामान्यतः वापरकर्त्यासाठी आदर्श आहे. सर्व निम्न-स्तरीय निर्णय स्पेसिफिकेशनमध्ये घेतले जातात, त्यामुळे ठराविक VPN इन्फ्रास्ट्रक्चर तयार करण्याच्या प्रक्रियेला काही मिनिटे लागतात. कॉन्फिगरेशनमध्ये फसवणूक करणे जवळजवळ अशक्य आहे.

स्थापना प्रक्रिया तपशीलवार वर्णन केले आहे अधिकृत वेबसाइटवर, मी स्वतंत्रपणे उत्कृष्ट लक्षात घेऊ इच्छितो OpenWRT समर्थन.

एनक्रिप्शन की युटिलिटीद्वारे व्युत्पन्न केल्या जातात wg:

SERVER_PRIVKEY=$( wg genkey )
SERVER_PUBKEY=$( echo $SERVER_PRIVKEY | wg pubkey )
CLIENT_PRIVKEY=$( wg genkey )
CLIENT_PUBKEY=$( echo $CLIENT_PRIVKEY | wg pubkey )

पुढे, आपल्याला सर्व्हर कॉन्फिगरेशन तयार करण्याची आवश्यकता आहे /etc/wireguard/wg0.conf खालील सामग्रीसह:

[Interface]
Address = 10.9.0.1/24
PrivateKey = $SERVER_PRIVKEY
[Peer]
PublicKey = $CLIENT_PUBKEY
AllowedIPs = 10.9.0.2/32

आणि स्क्रिप्टसह बोगदा वाढवा wg-quick:

sudo wg-quick up /etc/wireguard/wg0.conf

systemd सह सिस्टीमवर तुम्ही याचा वापर करू शकता sudo systemctl start [email protected].

क्लायंट मशीनवर, एक कॉन्फिगरेशन तयार करा /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = $CLIENT_PRIVKEY
Address = 10.9.0.2/24
[Peer]
PublicKey = $SERVER_PUBKEY
AllowedIPs = 0.0.0.0/0
Endpoint = 1.2.3.4:51820 # Внешний IP сервера
PersistentKeepalive = 25 

आणि त्याच प्रकारे बोगदा वाढवा:

sudo wg-quick up /etc/wireguard/wg0.conf

सर्व्हरवर NAT कॉन्फिगर करणे बाकी आहे जेणेकरुन क्लायंट इंटरनेटवर प्रवेश करू शकतील आणि तुमचे काम पूर्ण झाले!

मुख्य वितरण कार्यक्षमता काढून टाकून कोड बेसची वापरण्याची ही सुलभता आणि संक्षिप्तता प्राप्त झाली. कोणतीही जटिल प्रमाणपत्र प्रणाली नाही आणि हे सर्व कॉर्पोरेट भयपट; लहान एन्क्रिप्शन की एसएसएच की प्रमाणे वितरित केल्या जातात. परंतु यामुळे एक समस्या उद्भवते: वायरगार्ड काही विद्यमान नेटवर्कवर लागू करणे इतके सोपे नाही.

गैरसोयांपैकी, हे लक्षात घेण्यासारखे आहे की वायरगार्ड HTTP प्रॉक्सीद्वारे कार्य करणार नाही, कारण केवळ यूडीपी प्रोटोकॉल वाहतूक म्हणून उपलब्ध आहे. प्रश्न उद्भवतो: प्रोटोकॉल अस्पष्ट करणे शक्य होईल का? अर्थात, हे व्हीपीएनचे थेट कार्य नाही, परंतु ओपनव्हीपीएनसाठी, उदाहरणार्थ, स्वतःला HTTPS म्हणून वेष करण्याचे मार्ग आहेत, जे एकाधिकारशाही देशांतील रहिवाशांना इंटरनेटचा पूर्णपणे वापर करण्यास मदत करतात.

निष्कर्ष

थोडक्यात, हा एक अतिशय मनोरंजक आणि आशादायक प्रकल्प आहे, आपण आधीच वैयक्तिक सर्व्हरवर वापरू शकता. नफा काय? लिनक्स सिस्टीमवर उच्च कार्यक्षमता, सेटअप आणि समर्थन सुलभता, कॉम्पॅक्ट आणि वाचनीय कोड बेस. तथापि, वायरगार्डमध्ये जटिल पायाभूत सुविधा हस्तांतरित करण्यासाठी घाई करणे खूप लवकर आहे; लिनक्स कर्नलमध्ये त्याचा समावेश होण्याची प्रतीक्षा करणे योग्य आहे.

माझा (आणि तुमचा) वेळ वाचवण्यासाठी मी विकसित केले वायरगार्ड स्वयंचलित इंस्टॉलर. त्याच्या मदतीने, तुम्ही स्वतःसाठी आणि तुमच्या मित्रांसाठी वैयक्तिक VPN सेट करू शकता त्याबद्दल काहीही न समजता.

स्त्रोत: www.habr.com