VPN WireGuard लिनक्स कर्नेल 5.6 मा समावेश छ

आज Linus ले VPN इन्टरफेसको साथ नेट-नेक्स्ट शाखा आफैंमा सारियो WireGuard। यस घटनाको बारेमा रिपोर्ट गरियो WireGuard मेलिङ सूचीमा।

नयाँ Linux 5.6 कर्नेलको लागि कोड सङ्कलन हाल चलिरहेको छ। WireGuard एउटा छिटो अर्को पुस्ताको VPN हो जसले आधुनिक क्रिप्टोग्राफी लागू गर्दछ। यो मूल रूपमा अवस्थित VPNs को लागी एक सरल र अधिक सुविधाजनक विकल्प को रूप मा विकसित गरिएको थियो। लेखक क्यानाडाली सूचना सुरक्षा विशेषज्ञ जेसन ए डोनेनफेल्ड हुन्। अगस्त 2018 मा, WireGuard प्रशंसा प्राप्त गरे लिनस Torvalds द्वारा। त्यस समयमा, लिनक्स कर्नेलमा VPN समावेश गर्न काम सुरु भयो। प्रक्रियाले अलि बढी समय लियो।

"मैले देखेको छु कि जेसनले कर्नेलमा WireGuard समावेश गर्न पुल अनुरोध गरेको छ," लिनसले अगस्त 2, 2018 मा लेखे। — के म फेरि यो VPN को लागि मेरो प्रेमको घोषणा गर्न सक्छु र चाँडै मर्जरको आशा गर्न सक्छु? कोड सही नहुन सक्छ, तर मैले यसलाई हेरेँ, र OpenVPN र IPSec को भयावहताको तुलनामा, यो कलाको वास्तविक काम हो।"

लिनसको इच्छाको बाबजुद मर्जर डेढ वर्षसम्म तानियो। मुख्य समस्या क्रिप्टोग्राफिक प्रकार्यहरूको स्वामित्व कार्यान्वयनमा बाँधिएको थियो, जुन प्रदर्शन सुधार गर्न प्रयोग गरिएको थियो। सेप्टेम्बर 2019 मा लामो वार्ता पछि यो थियो सहमतिको निर्णय गरियो कर्नेलमा उपलब्ध Crypto API प्रकार्यहरूमा प्याचहरू अनुवाद गर्नुहोस्, जसमा WireGuard विकासकर्ताहरूले प्रदर्शन र सामान्य सुरक्षाको क्षेत्रमा गुनासो गरेका छन्। तर तिनीहरूले नेटिभ WireGuard क्रिप्टो प्रकार्यहरूलाई छुट्टै निम्न-स्तर Zinc API मा अलग गर्ने र अन्ततः तिनीहरूलाई कर्नेलमा पोर्ट गर्ने निर्णय गरे। नोभेम्बरमा, कर्नेल विकासकर्ताहरूले आफ्नो वाचा राखे र सहमत Zinc बाट मुख्य कर्नेलमा कोडको अंश स्थानान्तरण गर्नुहोस्। उदाहरण को लागी, Crypto API मा समावेश WireGuard मा तयार गरिएको ChaCha20 र Poly1305 एल्गोरिदमहरूको द्रुत कार्यान्वयन।

अन्ततः, डिसेम्बर 9, 2019 मा, डेभिड एस मिलर, लिनक्स कर्नेलको नेटवर्किङ सबसिस्टमका लागि जिम्मेवार, prinyal नेट-अर्को शाखामा प्याचहरू WireGuard परियोजनाबाट VPN इन्टरफेसको कार्यान्वयनको साथ।

र आज, जनवरी 29, 2020, परिवर्तनहरू कर्नेलमा समावेश गर्न लिनसमा गए।

अन्य VPN समाधानहरूमा WireGuard को दावी गरिएका फाइदाहरू:

• प्रयोग गर्न सजिलो।
• आधुनिक क्रिप्टोग्राफी प्रयोग गर्दछ: शोर प्रोटोकल फ्रेमवर्क, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF, आदि।
• संकुचित, पढ्न योग्य कोड, कमजोरीहरूको लागि जाँच गर्न सजिलो।
• उच्च प्रदर्शन।
• स्पष्ट र विस्तृत विशिष्टता.

सबै WireGuard को मूल तर्कले कोडको 4000 लाइनहरू भन्दा कम लिन्छ, जबकि OpenVPN र IPSec लाई सयौं हजार लाइनहरू चाहिन्छ।

"WireGuard ले एन्क्रिप्शन कुञ्जी राउटिङको अवधारणा प्रयोग गर्दछ, जसमा प्रत्येक नेटवर्क इन्टरफेसमा निजी कुञ्जी संलग्न गर्न र यसलाई बाँध्न सार्वजनिक कुञ्जीहरू प्रयोग गर्न समावेश गर्दछ। सार्वजनिक कुञ्जीहरू SSH मा समान रूपमा जडान स्थापना गर्न आदानप्रदान गरिन्छ। कुञ्जीहरू कुराकानी गर्न र प्रयोगकर्ता स्पेसमा छुट्टै डेमन नचलाएर जडान गर्न, Noise_IK संयन्त्रबाट शोर प्रोटोकल फ्रेमवर्कSSH मा अधिकृत_कुञ्जीहरू कायम राख्ने जस्तै। डाटा प्रसारण UDP प्याकेटहरूमा encapsulation मार्फत गरिन्छ। यसले ग्राहकको स्वचालित पुन: कन्फिगरेसनको साथ जडान विच्छेद नगरी VPN सर्भर (रोमिङ) को IP ठेगाना परिवर्तन गर्न समर्थन गर्दछ, - तिनी लेख्छन् ओपननेट।

एन्क्रिप्शनको लागि द्वारा प्रयोग स्ट्रिम साइफर ChaCha20 र सन्देश प्रमाणीकरण एल्गोरिथ्म (MAC) Poly1305, डेनियल बर्नस्टेन द्वारा डिजाइन गरिएको (डेनियल जे बर्नस्टेन), तान्जा लान्गे र पिटर श्वाबे। ChaCha20 र Poly1305 AES-256-CTR र HMAC को छिटो र सुरक्षित एनालगहरूको रूपमा राखिएको छ, जसको सफ्टवेयर कार्यान्वयनले विशेष हार्डवेयर समर्थनको प्रयोग नगरी एक निश्चित कार्यान्वयन समय प्राप्त गर्न अनुमति दिन्छ। साझा गोप्य कुञ्जी उत्पन्न गर्न, अण्डाकार कर्भ डिफी-हेलम्यान प्रोटोकल कार्यान्वयनमा प्रयोग गरिन्छ। कर्भ 25519, पनि डेनियल बर्नस्टेन द्वारा प्रस्तावित। ह्यासिङका लागि प्रयोग गरिने एल्गोरिदम हो BLAKE2s (RFC7693)"।

Результаты प्रदर्शन परीक्षणहरू आधिकारिक वेबसाइटबाट:

ब्यान्डविथ (मेगाबिट/सेकेन्ड)


पिङ (ms)

परीक्षण कन्फिगरेसन:

• Intel Core i7-3820QM र Intel Core i7-5200U
• Gigabit कार्डहरू Intel 82579LM र Intel I218LM
• लिनक्स 4.6.1
• WireGuard कन्फिगरेसन: MAC को लागि Poly256 सँग 20-bit ChaCha1305
• पहिलो IPsec कन्फिगरेसन: MAC को लागि Poly256 सँग 20-bit ChaCha1305
• दोस्रो IPsec कन्फिगरेसन: AES-256-GCM-128 (AES-NI सँग)
• OpenVPN कन्फिगरेसन: HMAC-SHA256-2, UDP मोडको साथ AES 256-बिट समकक्ष साइफर सुइट
• प्रयोग गरेर प्रदर्शन मापन गरिएको थियो iperf3, 30 मिनेट भन्दा बढी औसत परिणाम देखाउँछ।

सिद्धान्तमा, एक पटक नेटवर्क स्ट्याकमा एकीकृत भएपछि, WireGuard ले अझ छिटो काम गर्नुपर्छ। तर वास्तवमा कर्नेलमा निर्मित क्रिप्टो एपीआई क्रिप्टोग्राफिक प्रकार्यहरूमा संक्रमणको कारणले यो आवश्यक पर्दैन। सायद ती सबै अझै नेटिभ WireGuard को प्रदर्शन स्तरमा अनुकूलित छैनन्।

"मेरो दृष्टिकोणबाट, WireGuard सामान्यतया प्रयोगकर्ताको लागि आदर्श हो। सबै निम्न-स्तर निर्णयहरू विनिर्देशमा बनाइन्छ, त्यसैले सामान्य VPN पूर्वाधार तयार गर्ने प्रक्रियाले केही मिनेट मात्र लिन्छ। कन्फिगरेसन गडबड गर्न लगभग असम्भव छ - लेखियो 2018 मा Habré मा। - स्थापना प्रक्रिया विस्तृत रूपमा वर्णन गरिएको छ आधिकारिक वेबसाइटमा, म छुट्टै उत्कृष्ट नोट गर्न चाहन्छु OpenWRT समर्थन। प्रयोगको यो सहजता र कोड आधारको कम्प्याक्टनेस कुञ्जीहरूको वितरण हटाएर हासिल गरिएको थियो। त्यहाँ कुनै जटिल प्रमाणपत्र प्रणाली र यो सबै कर्पोरेट डरावनी छैन; छोटो एन्क्रिप्शन कुञ्जीहरू SSH कुञ्जीहरू जस्तै वितरित गरिन्छ।

WireGuard परियोजना 2015 देखि विकास भइरहेको छ, यो लेखापरीक्षण गरिएको छ र औपचारिक प्रमाणीकरण। WireGuard समर्थन नेटवर्क प्रबन्धक र systemd मा एकीकृत छ, र कर्नेल प्याचहरू डेबियन अस्थिर, Mageia, Alpine, Arch, Gentoo, OpenWrt, NixOS, Subgraph र ALT को आधार वितरणमा समावेश छन्।

स्रोत: www.habr.com