किन तपाईंले WireGuard प्रयोग गर्नु हुँदैन

WireGuard ले भर्खरै धेरै ध्यान पाइरहेको छ, वास्तवमा यो VPN हरू बीचको नयाँ तारा हो। तर के ऊ जस्तो देखिन्छ जस्तो राम्रो छ? म केही अवलोकनहरू छलफल गर्न चाहन्छु र WireGuard को कार्यान्वयनको समीक्षा गर्न चाहन्छु किन यो IPsec वा OpenVPN प्रतिस्थापन गर्ने समाधान होइन।

यस लेखमा, म केही मिथकहरू [WireGuard वरपर] debunk गर्न चाहन्छु। हो, यो पढ्न धेरै समय लाग्नेछ, त्यसैले यदि तपाईंले आफैंले एक कप चिया वा कफी बनाउनु भएको छैन भने, यो गर्ने समय हो। म पिटरलाई मेरो अराजक विचारहरू सच्याउनुभएकोमा धन्यवाद भन्न चाहन्छु।

म WireGuard का विकासकर्ताहरूलाई बदनाम गर्ने, उनीहरूको प्रयास वा विचारहरूलाई अवमूल्यन गर्ने लक्ष्य राख्दिन। तिनीहरूको उत्पादनले काम गरिरहेको छ, तर व्यक्तिगत रूपमा मलाई लाग्छ कि यो वास्तवमा के हो भन्दा पूर्ण रूपमा फरक प्रस्तुत गरिएको छ - यो IPsec र OpenVPN को लागि प्रतिस्थापनको रूपमा प्रस्तुत गरिएको छ, जुन वास्तवमा अहिले अवस्थित छैन।

नोटको रूपमा, म यो जोड्न चाहन्छु कि WireGuard को यस्तो स्थितिको लागि जिम्मेवारी मिडियामा निहित छ जसले यसको बारेमा कुरा गर्यो, र परियोजना वा यसको सिर्जनाकर्ताहरू होइन।

हालै लिनक्स कर्नेलको बारेमा धेरै राम्रो समाचार आएको छैन। त्यसोभए, हामीलाई प्रोसेसरको राक्षसी कमजोरीहरूको बारेमा बताइयो, जुन सफ्टवेयर द्वारा स्तरित गरिएको थियो, र लिनस टोरभाल्ड्सले यसको बारेमा धेरै अशिष्ट र बोरिंग रूपमा विकासकर्ताको उपयोगितावादी भाषामा कुरा गरे। एक शेड्यूलर वा शून्य-स्तर नेटवर्किङ स्ट्याक पनि चमकदार पत्रिकाहरूको लागि धेरै स्पष्ट विषयहरू होइनन्। र यहाँ WireGuard आउँछ।

कागजमा, यो सबै राम्रो लाग्दछ: एक रोमाञ्चक नयाँ प्रविधि।

तर यसलाई अलि नजिकबाट हेरौं।

WireGuard सेतो कागज

यो लेख आधारित छ आधिकारिक WireGuard कागजातजेसन डोनेनफेल्ड द्वारा लिखित। त्यहाँ उनले लिनक्स कर्नेलमा [WireGuard] को अवधारणा, उद्देश्य र प्राविधिक कार्यान्वयनको व्याख्या गर्छन्।

पहिलो वाक्य पढ्छ:

WireGuard […] ले धेरै जसो प्रयोगका केसहरूमा IPsec र अन्य लोकप्रिय प्रयोगकर्ता स्पेस र/वा TLS आधारित समाधानहरू जस्तै OpenVPN लाई प्रतिस्थापन गर्ने लक्ष्य राखेको छ जबकि अधिक सुरक्षित, प्रदर्शनकारी र [उपकरण] प्रयोग गर्न सजिलो छ।

निस्सन्देह, सबै नयाँ प्रविधिहरूको मुख्य फाइदा तिनीहरूको हो सरलता [पूर्ववर्तीहरूको तुलनामा]। तर एक VPN पनि हुनुपर्छ प्रभावकारी र सुरक्षित.

त्यसोभए, अर्को के छ?

यदि तपाइँ यो तपाइँलाई चाहिने कुरा होइन [VPN बाट] भन्नुहुन्छ भने, तपाइँ यहाँ पढाइ समाप्त गर्न सक्नुहुन्छ। यद्यपि, म नोट गर्नेछु कि त्यस्ता कार्यहरू कुनै पनि अन्य टनेलिङ प्रविधिको लागि सेट गरिएको छ।

माथिको उद्धरणको सबैभन्दा चाखलाग्दो शब्द "धेरै अवस्थामा" मा निहित छ, जुन निस्सन्देह, प्रेस द्वारा बेवास्ता गरिएको थियो। र त्यसोभए, यो लापरवाहीले सिर्जना गरेको अराजकताको कारण हामी कहाँ पुग्यौं - यो लेखमा।

के WireGuard ले मेरो [IPsec] साइट-टु-साइट VPN प्रतिस्थापन गर्नेछ?

छैन। सिस्को, जुनिपर र अन्य जस्ता ठूला विक्रेताहरूले तिनीहरूका उत्पादनहरूको लागि WireGuard खरिद गर्ने कुनै सम्भावना छैन। तिनीहरू चालमा "गुजर्ने रेलहरूमा हाम फाल्दैनन्" जबसम्म त्यहाँ त्यसो गर्न ठूलो आवश्यकता छैन। पछि, म तिनीहरूले चाहेको खण्डमा पनि तिनीहरूको WireGuard उत्पादनहरू बोर्डमा प्राप्त गर्न सक्षम नहुनुको केही कारणहरूमा जानेछु।

के WireGuard ले मेरो RoadWarrior लाई मेरो ल्यापटपबाट डाटा सेन्टरमा लैजान्छ?

छैन। अहिले, WireGuard सँग यो जस्तो केहि गर्न सक्षम हुनको लागि लागू गरिएका महत्त्वपूर्ण सुविधाहरूको ठूलो संख्या छैन। उदाहरणका लागि, यसले टनेल सर्भर साइडमा डायनामिक आईपी ठेगानाहरू प्रयोग गर्न सक्दैन, र यसले मात्र उत्पादनको यस्तो प्रयोगको सम्पूर्ण परिदृश्य तोड्छ।

IPFire प्रायः सस्तो इन्टरनेट लिङ्कहरू, जस्तै DSL वा केबल जडानहरूको लागि प्रयोग गरिन्छ। यसले साना वा मझौला व्यवसायहरूका लागि अर्थ बनाउँछ जसलाई छिटो फाइबर आवश्यक छैन। [अनुवादकबाट नोट: नबिर्सनुहोस् कि सञ्चारको सन्दर्भमा, रूस र केही CIS देशहरू युरोप र संयुक्त राज्य अमेरिका भन्दा धेरै अगाडि छन्, किनभने हामीले हाम्रो नेटवर्कहरू धेरै पछि निर्माण गर्न थाल्यौं र इथरनेट र फाइबर अप्टिक नेटवर्कहरूको आगमनसँगै। मानक, हामीलाई पुनर्निर्माण गर्न सजिलो थियो। EU वा USA को समान देशहरूमा, 3-5 Mbps को गतिमा xDSL ब्रोडब्यान्ड पहुँच अझै पनि सामान्य मानक हो, र फाइबर अप्टिक जडानले हाम्रो मापदण्ड अनुसार केही अवास्तविक पैसा खर्च गर्छ। त्यसकारण, लेखको लेखकले DSL वा केबल जडानलाई सामान्य रूपमा बोल्छ, र पुरानो समय होइन।] यद्यपि, DSL, केबल, LTE (र अन्य वायरलेस पहुँच विधिहरू) सँग गतिशील IP ठेगानाहरू छन्। निस्सन्देह, कहिलेकाहीँ तिनीहरू प्रायः परिवर्तन गर्दैनन्, तर तिनीहरू परिवर्तन हुन्छन्।

नामक उपप्रोजेक्ट छ "wg-गतिशील", जसले यो कमीलाई हटाउन प्रयोगकर्तास्पेस डेमन थप्छ। माथि वर्णित प्रयोगकर्ता परिदृश्य संग एक ठूलो समस्या गतिशील IPv6 ठेगाना को उत्तेजित छ।

वितरकको दृष्टिकोणबाट, यो सबै धेरै राम्रो देखिँदैन। डिजाइन लक्ष्यहरू मध्ये एक प्रोटोकल सरल र सफा राख्नु थियो।

दुर्भाग्यवश, यो सबै वास्तवमा धेरै सरल र आदिम भएको छ, त्यसैले हामीले यो सम्पूर्ण डिजाइन वास्तविक प्रयोगमा व्यवहार्य हुनको लागि थप सफ्टवेयर प्रयोग गर्नुपर्छ।

WireGuard प्रयोग गर्न यति सजिलो छ?

अझै छैन। म यो भनिरहेको छैन कि WireGuard कहिले पनि दुई बिन्दुहरू बीच टनेलिङको लागि राम्रो विकल्प हुनेछैन, तर अहिलेको लागि यो उत्पादनको अल्फा संस्करण मात्र हो जुन यो मानिन्छ।

तर उसले वास्तवमा के गर्छ? के IPsec साँच्चै मर्मत गर्न धेरै गाह्रो छ?

स्पष्ट रूपमा छैन। IPsec विक्रेताले यो सोचेको छ र तिनीहरूको उत्पादनलाई इन्टरफेसको साथ पठाउँदछ, जस्तै IPFire सँग।

IPsec मा VPN टनेल सेटअप गर्न, तपाईंलाई कन्फिगरेसनमा प्रविष्ट गर्न आवश्यक पर्ने डेटाको पाँच सेटहरू चाहिन्छ: तपाईंको आफ्नै सार्वजनिक IP ठेगाना, प्राप्त गर्ने पक्षको सार्वजनिक IP ठेगाना, सबनेटहरू जुन तपाईंले सार्वजनिक गर्न चाहनुहुन्छ। यो VPN जडान र पूर्व-साझा कुञ्जी। यसैले, VPN मिनेट भित्र सेट अप हुन्छ र कुनै पनि विक्रेता संग उपयुक्त छ।

दुर्भाग्यवश, यस कथामा केही अपवादहरू छन्। IPsec मा ओपनबीएसडी मेसिनमा टनेल गर्ने प्रयास गर्ने जो कोहीलाई थाहा छ म के कुरा गर्दैछु। त्यहाँ केही थप पीडादायी उदाहरणहरू छन्, तर वास्तवमा, IPsec प्रयोग गर्नका लागि धेरै, धेरै राम्रा अभ्यासहरू छन्।

प्रोटोकल जटिलता बारे

अन्तिम प्रयोगकर्ताले प्रोटोकलको जटिलताको बारेमा चिन्ता लिनु पर्दैन।

यदि हामी यस्तो संसारमा बसेका थियौं जहाँ यो प्रयोगकर्ताको वास्तविक चिन्ता थियो, तब हामीले SIP, H.323, FTP र NAT सँग राम्रोसँग काम नगर्ने दस वर्षअघि सिर्जना गरिएका अन्य प्रोटोकलहरूबाट छुटकारा पाउने थियौं।

त्यहाँ कारणहरू छन् किन IPsec WireGuard भन्दा बढी जटिल छ: यसले धेरै चीजहरू गर्दछ। उदाहरण को लागी, लगइन / पासवर्ड वा EAP को साथ सिम कार्ड प्रयोग गरेर प्रयोगकर्ता प्रमाणीकरण। यसमा नयाँ थप्न विस्तारित क्षमता छ क्रिप्टोग्राफिक आदिम.

र WireGuard सँग त्यो छैन।

र यसको मतलब यो हो कि WireGuard कुनै बिन्दुमा टुट्नेछ, किनभने क्रिप्टोग्राफिक आदिम मध्ये एक कमजोर हुनेछ वा पूर्ण रूपमा सम्झौता हुनेछ। प्राविधिक दस्तावेज को लेखक यो भन्छन्:

यो ध्यान दिन लायक छ कि WireGuard क्रिप्टोग्राफिक रूपमा विचार गरिएको छ। यसले जानाजानी सिफर र प्रोटोकलहरूको लचिलोपनको कमी छ। यदि अन्तर्निहित आदिमहरूमा गम्भीर प्वालहरू फेला पर्छन् भने, सबै अन्तिम बिन्दुहरू अद्यावधिक गर्न आवश्यक हुनेछ। तपाईले SLL/TLS कमजोरीहरूको चलिरहेको स्ट्रिमबाट देख्न सक्नुहुन्छ, एन्क्रिप्शनको लचिलोपन अब धेरै बढेको छ।

अन्तिम वाक्य बिल्कुल सही छ।

कुन इन्क्रिप्सन प्रयोग गर्ने भन्नेमा सहमतिमा पुग्नाले IKE र TLS जस्ता प्रोटोकलहरू बनाउँछ अधिक जटिल। धेरै जटिल? हो, TLS/SSL मा कमजोरीहरू धेरै सामान्य छन्, र तिनीहरूको कुनै विकल्प छैन।

वास्तविक समस्याहरूलाई बेवास्ता गरेर

कल्पना गर्नुहोस् कि तपाईंसँग संसारभरि कतै 200 लडाई ग्राहकहरूसँग VPN सर्भर छ। यो एक राम्रो मानक प्रयोग मामला हो। यदि तपाईंले इन्क्रिप्सन परिवर्तन गर्नु पर्छ भने, तपाईंले यी ल्यापटपहरू, स्मार्टफोनहरू, र यस्तै अन्यमा WireGuard को सबै प्रतिलिपिहरूमा अद्यावधिक डेलिभर गर्न आवश्यक छ। एकै साथ वितरण। यो शाब्दिक असम्भव छ। यसो गर्न खोज्ने प्रशासकहरूले आवश्यक कन्फिगरेसनहरू डिप्लोय गर्न महिनौं लाग्नेछ, र यसले शाब्दिक रूपमा एउटा मध्यम आकारको कम्पनीलाई यस्तो घटना हटाउन वर्षौं लाग्नेछ।

IPsec र OpenVPN ले सिफर वार्ता सुविधा प्रदान गर्दछ। त्यसकारण, केहि समयको लागि जुन पछि तपाईले नयाँ इन्क्रिप्सन खोल्नु हुन्छ, पुरानोले पनि काम गर्नेछ। यसले हालका ग्राहकहरूलाई नयाँ संस्करणमा अपग्रेड गर्न अनुमति दिनेछ। अद्यावधिक रोल आउट भएपछि, तपाइँ केवल कमजोर ईन्क्रिप्शन बन्द गर्नुहोस्। र त्यो हो! तयार! तपाईं सुन्दर हुनुहुन्छ! सेवाग्राहीले पनि त्यसलाई ध्यान दिँदैनन् ।

यो वास्तवमा ठूलो परिनियोजनको लागि एक धेरै सामान्य मामला हो, र OpenVPN लाई पनि यसमा केहि कठिनाई छ। पछाडि अनुकूलता महत्त्वपूर्ण छ, र यद्यपि तपाईले कमजोर एन्क्रिप्शन प्रयोग गर्नुहुन्छ, धेरैका लागि, यो व्यवसाय बन्द गर्ने कारण होइन। किनभने यसले सयौं ग्राहकको काम गर्न नसक्ने कारणले गर्दा काम ठप्प हुनेछ ।

WireGuard टोलीले तिनीहरूको प्रोटोकल सरल बनाएको छ, तर तिनीहरूको सुरुङमा दुवै साथीहरूमाथि निरन्तर नियन्त्रण नभएका मानिसहरूका लागि पूर्ण रूपमा अनुपयोगी छ। मेरो अनुभवमा, यो सबैभन्दा सामान्य परिदृश्य हो।

क्रिप्टोग्राफी!

तर WireGuard प्रयोग गर्ने यो रोचक नयाँ एन्क्रिप्शन के हो?

WireGuard ले कुञ्जी आदानप्रदानको लागि Curve25519, एन्क्रिप्शनको लागि ChaCha20 र डेटा प्रमाणीकरणको लागि Poly1305 प्रयोग गर्दछ। यसले ह्यास कुञ्जीहरूको लागि SipHash र ह्यासिङको लागि BLAKE2 सँग पनि काम गर्दछ।

ChaCha20-Poly1305 IPsec र OpenVPN (TLS माथि) को लागि मानकीकृत छ।

यो स्पष्ट छ कि डेनियल बर्नस्टीनको विकास धेरै पटक प्रयोग गरिन्छ। BLAKE2 BLAKE को उत्तराधिकारी हो, SHA-3 फाइनलमा जो SHA-2 सँग समानताको कारणले जित्न सकेन। यदि SHA-2 तोड्ने हो भने, BLAKE लाई पनि सम्झौता हुने राम्रो मौका थियो।

IPsec र OpenVPN लाई तिनीहरूको डिजाइनको कारणले SipHash को आवश्यकता पर्दैन। त्यसोभए एक मात्र चीज जुन हाल तिनीहरूसँग प्रयोग गर्न सकिँदैन BLAKE2 हो, र यो मानकीकृत नभएसम्म मात्र हो। यो ठूलो कमजोरी होइन, किनभने VPNs ले अखण्डता सिर्जना गर्न HMAC प्रयोग गर्दछ, जुन MD5 सँग संयोजनमा पनि बलियो समाधान मानिन्छ।

त्यसोभए म निष्कर्षमा पुगें कि क्रिप्टोग्राफिक उपकरणहरूको लगभग समान सेट सबै VPN मा प्रयोग गरिन्छ। तसर्थ, WireGuard कुनै पनि अन्य हालको उत्पादन भन्दा बढी वा कम सुरक्षित छैन जब यो एन्क्रिप्शन वा प्रसारित डाटाको अखण्डताको कुरा आउँछ।

तर यो पनि सबैभन्दा महत्त्वपूर्ण कुरा होइन, जुन परियोजनाको आधिकारिक दस्तावेज अनुसार ध्यान दिन लायक छ। आखिर, मुख्य कुरा गति छ।

के WireGuard अन्य VPN समाधानहरू भन्दा छिटो छ?

छोटकरीमा: होइन, छिटो होइन।

ChaCha20 एक स्ट्रिम साइफर हो जुन सफ्टवेयरमा लागू गर्न सजिलो छ। यसले एक पटकमा एक बिट इन्क्रिप्ट गर्दछ। AES जस्तै ब्लक प्रोटोकलहरू एक समयमा एक ब्लक 128 बिट इन्क्रिप्ट गर्नुहोस्। हार्डवेयर समर्थन कार्यान्वयन गर्न धेरै ट्रान्जिस्टरहरू आवश्यक छन्, त्यसैले ठूला प्रोसेसरहरू AES-NI सँग आउँछन्, एक निर्देशन सेट विस्तार जसले यसलाई गति बढाउन इन्क्रिप्शन प्रक्रियाका केही कार्यहरू गर्दछ।

यो आशा गरिएको थियो कि AES-NI कहिले पनि स्मार्टफोनमा आउनेछैन [तर यो भयो - लगभग। प्रति।] यसका लागि, ChaCha20 लाई हल्का वजन, ब्याट्री बचत गर्ने विकल्पको रूपमा विकसित गरिएको थियो। तसर्थ, तपाईलाई यो समाचारको रूपमा आउन सक्छ कि तपाईले आज खरिद गर्न सक्नुहुने प्रत्येक स्मार्टफोनमा कुनै न कुनै प्रकारको AES एक्सेलेरेशन हुन्छ र चाचा२० को तुलनामा यस इन्क्रिप्सनसँग छिटो र कम पावर खपत भएको हुन्छ।

जाहिर छ, पछिल्ला दुई वर्षमा किनेको हरेक डेस्कटप/सर्भर प्रोसेसरसँग AES-NI छ।

तसर्थ, म AES ले प्रत्येक एकल परिदृश्यमा ChaCha20 लाई अगाडि बढाउने अपेक्षा गर्छु। WireGuard को आधिकारिक कागजातले उल्लेख गरेको छ कि AVX512 सँग, ChaCha20-Poly1305 ले AES-NI लाई भन्दा राम्रो गर्नेछ, तर यो निर्देशन सेट एक्सटेन्सन ठूला CPU मा मात्र उपलब्ध हुनेछ, जसले फेरि साना र धेरै मोबाइल हार्डवेयरमा मद्दत गर्दैन, जुन AES सँग सधैं छिटो हुनेछ। - N.I

म पक्का छैन कि यो WireGuard को विकास को समयमा पूर्वानुमान गरिएको हुन सक्छ, तर आज यो तथ्य यो हो कि यो एक्लै ईन्क्रिप्शन मा कील गरिएको छ पहिले नै एक कमजोरी हो कि यसको संचालन लाई धेरै राम्रो असर नगर्न सक्छ।

IPsec ले तपाइँलाई तपाइँको केसको लागि कुन ईन्क्रिप्शन उत्तम छ भनेर स्वतन्त्र रूपमा छनौट गर्न अनुमति दिन्छ। र निस्सन्देह, यो आवश्यक छ यदि, उदाहरणका लागि, तपाइँ VPN जडान मार्फत 10 वा बढी गीगाबाइट डाटा स्थानान्तरण गर्न चाहनुहुन्छ भने।

लिनक्समा एकीकरण मुद्दाहरू

यद्यपि WireGuard ले आधुनिक इन्क्रिप्शन प्रोटोकल रोजेको छ, यसले पहिले नै धेरै समस्याहरू निम्त्याउँछ। र त्यसोभए, बक्सको बाहिर कर्नेल द्वारा समर्थित के प्रयोग गर्नुको सट्टा, लिनक्समा यी आदिमहरूको कमीको कारण WireGuard को एकीकरण वर्षौंको लागि ढिलाइ भएको छ।

अन्य अपरेटिङ सिस्टमहरूमा के अवस्था छ भन्ने कुरामा म पूर्णतया निश्चित छैन, तर यो लिनक्समा भन्दा धेरै फरक छैन।

वास्तविकता कस्तो देखिन्छ?

दुर्भाग्यवश, प्रत्येक पटक एक ग्राहकले मलाई उनीहरूको लागि VPN जडान सेटअप गर्न सोध्छ, म मुद्दामा दौडन्छु कि उनीहरूले पुरानो प्रमाणहरू र एन्क्रिप्शन प्रयोग गरिरहेका छन्। MD3 सँग संयोजनमा 5DES अझै पनि सामान्य अभ्यास हो, जस्तै AES-256 र SHA1। र यद्यपि पछिल्लो अलि राम्रो छ, यो 2020 मा प्रयोग गरिनु पर्ने कुरा होइन।

कुञ्जी विनिमयको लागि संधै RSA प्रयोग गरिन्छ - एक ढिलो तर एकदम सुरक्षित उपकरण।

मेरा ग्राहकहरू भन्सार अधिकारीहरू र अन्य सरकारी संस्थाहरू र संस्थाहरू, साथै ठूला निगमहरूसँग सम्बन्धित छन् जसको नाम संसारभरि परिचित छ। तिनीहरू सबैले एक अनुरोध फारम प्रयोग गर्छन् जुन दशकहरू पहिले सिर्जना गरिएको थियो, र SHA-512 प्रयोग गर्ने क्षमता कहिल्यै थपिएको थिएन। म भन्न सक्दिन कि यसले कुनै न कुनै रूपमा स्पष्ट रूपमा प्राविधिक प्रगतिलाई असर गर्छ, तर स्पष्ट रूपमा यसले कर्पोरेट प्रक्रियालाई सुस्त बनाउँछ।

यो देख्दा मलाई दुख लाग्छ किनभने IPsec ले सन् २००५ देखि अण्डाकार कर्भलाई समर्थन गर्दै आएको छ। Curve2005 पनि नयाँ र प्रयोगको लागि उपलब्ध छ। त्यहाँ क्यामेलिया र ChaCha25519 जस्ता AES को विकल्पहरू पनि छन्, तर स्पष्ट रूपमा ती सबै सिस्को र अन्य जस्ता प्रमुख विक्रेताहरूद्वारा समर्थित छैनन्।

र मानिसहरूले यसको फाइदा लिन्छन्। त्यहाँ धेरै सिस्को किटहरू छन्, त्यहाँ धेरै किटहरू सिस्कोसँग काम गर्न डिजाइन गरिएका छन्। तिनीहरू यस खण्डमा बजार नेताहरू हुन् र कुनै पनि प्रकारको नवीनतामा धेरै रुचि राख्दैनन्।

हो, स्थिति [कर्पोरेट खण्डमा] डरलाग्दो छ, तर हामी WireGuard को कारणले कुनै परिवर्तन देख्ने छैनौं। विक्रेताहरूले पहिले नै प्रयोग गरिरहनुभएको उपकरण र इन्क्रिप्शनको साथ कुनै पनि कार्यसम्पादन समस्याहरू कहिल्यै देख्ने छैनन्, IKEv2 सँग कुनै समस्याहरू देख्ने छैनन्, र त्यसैले तिनीहरू विकल्पहरू खोजिरहेका छैनन्।

सामान्यतया, के तपाईंले सिस्को छोड्ने बारे सोच्नुभएको छ?

बेन्चमार्कहरू

र अब WireGuard कागजातबाट बेन्चमार्कहरूमा जाऔं। यद्यपि यो [कागजातीकरण] वैज्ञानिक लेख होइन, मैले अझै पनि विकासकर्ताहरूले थप वैज्ञानिक दृष्टिकोण लिन वा सन्दर्भको रूपमा वैज्ञानिक दृष्टिकोण प्रयोग गर्ने अपेक्षा गरेको छु। कुनै पनि बेन्चमार्कहरू बेकार हुन्छन् यदि तिनीहरू पुन: उत्पादन गर्न सकिँदैन, र अझ बढी बेकार जब तिनीहरू प्रयोगशालामा प्राप्त हुन्छन्।

WireGuard को लिनक्स बिल्डमा, यसले GSO - जेनेरिक सेग्मेन्टेशन अफलोडिङ प्रयोग गरेर फाइदा लिन्छ। उहाँलाई धन्यवाद, ग्राहकले 64 किलोबाइटको ठूलो प्याकेट सिर्जना गर्दछ र यसलाई एकै चोटि इन्क्रिप्ट / डिक्रिप्ट गर्दछ। यसरी, क्रिप्टोग्राफिक अपरेशनहरू आह्वान र कार्यान्वयनको लागत कम हुन्छ। यदि तपाईं आफ्नो VPN जडानको थ्रुपुट अधिकतम गर्न चाहनुहुन्छ भने, यो राम्रो विचार हो।

तर, सामान्य रूपमा, वास्तविकता त्यति सरल छैन। नेटवर्क एडाप्टरमा यति ठूलो प्याकेट पठाउन यसलाई धेरै साना प्याकेटहरूमा काट्न आवश्यक छ। सामान्य पठाउने आकार 1500 बाइट हो। अर्थात्, हाम्रो 64 किलोबाइटको विशाललाई 45 प्याकेटहरूमा विभाजन गरिनेछ (जानकारीको 1240 बाइट र IP हेडरको 20 बाइटहरू)। त्यसपछि, केही समयको लागि, तिनीहरूले नेटवर्क एडाप्टरको कामलाई पूर्ण रूपमा अवरुद्ध गर्नेछन्, किनभने तिनीहरू सँगै र एकै पटक पठाइनुपर्छ। नतिजाको रूपमा, यसले प्राथमिकता जम्पमा नेतृत्व गर्नेछ, र VoIP जस्ता प्याकेटहरू, उदाहरणका लागि, लामबद्ध हुनेछन्।

यसैले, WireGuard ले साहसपूर्वक दावी गरेको उच्च थ्रुपुट अन्य एप्लिकेसनहरूको सञ्जाललाई ढिलो गर्ने लागतमा प्राप्त हुन्छ। र WireGuard टोली पहिले नै छ पुष्टि भयो यो मेरो निष्कर्ष हो।

तर अगाडि बढौं।

प्राविधिक कागजातमा बेन्चमार्कहरू अनुसार, जडानले 1011 Mbps को थ्रुपुट देखाउँछ।

प्रभावशाली।

यो विशेष गरी प्रभावशाली छ किनभने एकल गिगाबिट इथरनेट जडानको अधिकतम सैद्धान्तिक थ्रुपुट 966 Mbps हो जसको प्याकेट साइज 1500 बाइट्स माइनस 20 आईपी हेडरको लागि, 8 बाइट्स UDP हेडरको लागि र 16 बाइट्सको हेडरको लागि हो। WireGuard आफैं। त्यहाँ एक थप आईपी हेडर इनक्याप्सुलेटेड प्याकेटमा छ र अर्को एउटा TCP मा 20 बाइटहरूको लागि। त्यसोभए यो अतिरिक्त ब्यान्डविथ कहाँबाट आयो?

ठूला फ्रेमहरू र GSO को फाइदाहरूका साथ हामीले माथि कुरा गरेका छौं, 9000 बाइटको फ्रेम साइजको लागि सैद्धान्तिक अधिकतम 1014 Mbps हुनेछ। सामान्यतया यस्तो थ्रुपुट वास्तविकतामा अप्राप्य हुन्छ, किनभने यो ठूलो कठिनाइहरूसँग सम्बन्धित छ। तसर्थ, म मात्र मान्न सक्छु कि परीक्षण 64 किलोबाइटको पनि मोटो ओभरसाइज फ्रेमहरू प्रयोग गरेर 1023 Mbps को सैद्धांतिक अधिकतम, जुन केहि नेटवर्क एडेप्टरहरू द्वारा समर्थित छ। तर यो वास्तविक अवस्थाहरूमा बिल्कुल अयोग्य छ, वा केवल परीक्षण बेन्च भित्र मात्र दुई प्रत्यक्ष जडान स्टेशनहरू बीच प्रयोग गर्न सकिन्छ।

तर VPN सुरुङलाई इन्टरनेट जडान प्रयोग गरेर दुई होस्टहरू बीच फर्वार्ड गरिएको छ जसले जम्बो फ्रेमहरूलाई समर्थन गर्दैन, बेन्चमा प्राप्त परिणामलाई बेन्चमार्कको रूपमा लिन सकिँदैन। यो केवल एक अवास्तविक प्रयोगशाला उपलब्धि हो जुन असम्भव छ र वास्तविक लडाई परिस्थितिहरूमा लागू हुँदैन।

डाटा सेन्टरमा बसेर पनि, मैले 9000 बाइट भन्दा ठूलो फ्रेमहरू स्थानान्तरण गर्न सकिन।

वास्तविक जीवनमा लागू हुने मापदण्ड पूर्ण रूपमा उल्लङ्घन गरिएको छ र, जस्तो कि मलाई लाग्छ, "मापन" को लेखकले स्पष्ट कारणहरूको लागि आफैलाई गम्भीर रूपमा बदनाम गरे।

आशाको अन्तिम किरण

WireGuard वेबसाइटले कन्टेनरहरूको बारेमा धेरै कुरा गर्छ र यो स्पष्ट हुन्छ कि यो वास्तवमा के उद्देश्यको लागि हो।

एउटा सरल र छिटो VPN जसलाई कुनै कन्फिगरेसनको आवश्यकता पर्दैन र Amazon जस्ता ठूला अर्केस्ट्रेशन उपकरणहरूसँग तिनीहरूको क्लाउडमा प्रयोग गर्न र कन्फिगर गर्न सकिन्छ। विशेष रूपमा, अमेजनले भर्खरको हार्डवेयर सुविधाहरू प्रयोग गर्दछ जुन मैले पहिले उल्लेख गरेको छु, जस्तै AVX512। यो कामको गति बढाउनको लागि गरिन्छ र x86 वा कुनै अन्य वास्तुकलामा बाँधिएको छैन।

तिनीहरूले 9000 बाइटहरू भन्दा ठूला थ्रुपुट र प्याकेटहरू अनुकूलन गर्छन् - यी कन्टेनरहरू एकअर्कासँग सञ्चार गर्न, वा ब्याकअप अपरेसनहरूका लागि, स्न्यापसटहरू सिर्जना गर्न वा यी समान कन्टेनरहरू प्रयोग गर्नका लागि विशाल एन्क्याप्सुलेटेड फ्रेमहरू हुनेछन्। डायनामिक आईपी ठेगानाहरूले पनि मैले वर्णन गरेको परिदृश्यको अवस्थामा कुनै पनि हिसाबले WireGuard को सञ्चालनलाई असर गर्दैन।

राम्रो खेलेको। शानदार कार्यान्वयन र धेरै पातलो, लगभग सन्दर्भ प्रोटोकल।

तर तपाईले पूर्णतया नियन्त्रण गर्नुहुने डेटा सेन्टर बाहिरको संसारमा यो फिट हुँदैन। यदि तपाईंले जोखिम लिनुभयो र WireGuard प्रयोग गर्न थाल्नुभयो भने, तपाईंले एन्क्रिप्शन प्रोटोकलको डिजाइन र कार्यान्वयनमा निरन्तर सम्झौताहरू गर्नुपर्नेछ।

निष्कर्षमा

WireGuard अझै तयार छैन भन्ने निष्कर्षमा पुग्न मलाई सजिलो छ।

यसलाई अवस्थित समाधानहरूको साथमा धेरै समस्याहरूको हल्का र द्रुत समाधानको रूपमा कल्पना गरिएको थियो। दुर्भाग्यवश, यी समाधानहरूको लागि, उनले धेरै सुविधाहरू बलिदान गरे जुन धेरै प्रयोगकर्ताहरूको लागि सान्दर्भिक हुनेछ। त्यसकारण यसले IPsec वा OpenVPN लाई प्रतिस्थापन गर्न सक्दैन।

WireGuard प्रतिस्पर्धी बन्नको लागि, यसले कम्तिमा एउटा IP ठेगाना सेटिङ र राउटिङ र DNS कन्फिगरेसन थप्न आवश्यक छ। जाहिर छ, यो के ईन्क्रिप्टेड च्यानलहरू लागि हो।

सुरक्षा मेरो शीर्ष प्राथमिकता हो, र अहिले मसँग विश्वास गर्ने कुनै कारण छैन कि IKE वा TLS कुनै न कुनै रूपमा सम्झौता वा टुटेको छ। ती दुवैमा आधुनिक इन्क्रिप्सन समर्थित छ, र तिनीहरू दशकौंको सञ्चालनद्वारा प्रमाणित भएका छन्। केहि नयाँ भएकोले राम्रो छ भन्ने होइन।

जब तपाइँ तेस्रो पक्षहरूसँग कुराकानी गर्नुहुन्छ जसको स्टेशनहरू तपाइँ नियन्त्रण गर्नुहुन्न। IPsec वास्तविक मानक हो र लगभग सबै ठाउँमा समर्थित छ। र उसले काम गर्छ। र जे भए पनि यो कस्तो देखिन्छ, सिद्धान्तमा, भविष्यमा WireGuard आफैंको विभिन्न संस्करणहरूसँग उपयुक्त नहुन सक्छ।

कुनै पनि क्रिप्टोग्राफिक सुरक्षा ढिलो वा पछि भाँचिएको छ र, तदनुसार, प्रतिस्थापन वा अद्यावधिक हुनुपर्छ।

यी सबै तथ्यहरूलाई अस्वीकार गर्नु र तपाईंको आईफोनलाई तपाईंको गृह वर्कस्टेशनमा जडान गर्न WireGuard प्रयोग गर्न खोज्नु भनेको बालुवामा टाउको टाँस्ने एउटा मास्टर क्लास हो।

स्रोत: www.habr.com