{"id":41441,"date":"2020-02-11T12:07:10","date_gmt":"2020-02-11T09:07:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/wireguard-pridet-v-yadro-linux-pochemu"},"modified":"2020-02-11T12:07:10","modified_gmt":"2020-02-11T09:07:10","slug":"wireguard-pridet-v-yadro-linux-pochemu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/wireguard-pridet-v-yadro-linux-pochemu","title":{"rendered":"WireGuard \u201eprzyjdzie\u201d do j\u0105dra Linux \u2014 dlaczego?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pod koniec lipca tw\u00f3rcy tunelu VPN WireGuard zaproponowali zbi\u00f3r poprawek<\/a><\/noindex>, kt\u00f3re sprawi\u0105, \u017ce ich oprogramowanie do tworzenia tuneli VPN stanie si\u0119 cz\u0119\u015bci\u0105 j\u0105dra Linux. Dok\u0142adna data realizacji tego pomys\u0142u nadal pozostaje jednak nieznana. Poni\u017cej przyjrzymy si\u0119 temu narz\u0119dziu bli\u017cej.<\/p>\n

\"WireGuard<\/a><\/noindex><\/a><\/noindex>
\n\/ \u0444\u043e\u0442\u043e Tambako The Jaguar<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Kr\u00f3tko o projekcie<\/h2>\n

\nWireGuard to tunel VPN nowej generacji stworzony przez Jasona A. Donenfelda, szefa firmy Edge Security. Projekt powsta\u0142 jako uproszczona<\/a><\/noindex> i szybka alternatywa dla OpenVPN oraz IPsec. Pierwsza wersja produktu zawiera\u0142a zaledwie 4 tys. linii kodu. Dla por\u00f3wnania OpenVPN ma ich oko\u0142o 120 tys., a IPsec \u2014 420 tys.<\/p>\n

Wed\u0142ug s\u0142owami<\/a><\/noindex> Wed\u0142ug deweloper\u00f3w WireGuard jest \u0142atwy w konfiguracji, a bezpiecze\u0144stwo protoko\u0142u zapewniaj\u0105 sprawdzone algorytmy kryptograficzne<\/a><\/noindex>. Przy zmianie sieci<\/a><\/noindex>: Wi\u2011Fi, LTE lub Ethernet za ka\u017cdym razem trzeba ponownie \u0142\u0105czy\u0107 si\u0119 z serwerem VPN. Serwery WireGuard nie zrywaj\u0105 jednak po\u0142\u0105czenia, nawet je\u015bli u\u017cytkownik otrzyma nowy adres IP.<\/p>\n

Mimo \u017ce WireGuard od pocz\u0105tku by\u0142 projektowany z my\u015bl\u0105 o j\u0105drze Linux, deweloperzy zadbali<\/a><\/noindex> r\u00f3wnie\u017c o przeno\u015bn\u0105 wersj\u0119 narz\u0119dzia dla urz\u0105dze\u0144 z Androidem. Aplikacja nie jest jeszcze dopracowana, ale ju\u017c teraz mo\u017cna j\u0105 przetestowa\u0107 w praktyce. W tym celu trzeba zosta\u0107 jednym z tester\u00f3w<\/a><\/noindex>.<\/p>\n

Og\u00f3lnie rzecz bior\u0105c, WireGuard cieszy si\u0119 spor\u0105 popularno\u015bci\u0105 i zosta\u0142 ju\u017c zrealizowano<\/a><\/noindex> wdro\u017cony przez kilku dostawc\u00f3w VPN, na przyk\u0142ad Mullvad i AzireVPN. W sieci opublikowano tak\u017ce wiele du\u017co tre\u015bci<\/a><\/noindex> poradnik\u00f3w konfiguracji<\/a><\/noindex> tego rozwi\u0105zania. Na przyk\u0142ad s\u0105 poradniki<\/a><\/noindex>, kt\u00f3re tworz\u0105 u\u017cytkownicy, a s\u0105 te\u017c poradniki przygotowane przez autor\u00f3w projektu<\/a><\/noindex>.<\/p>\n

Szczeg\u00f3\u0142y techniczne<\/h2>\n

\nW oficjalnej dokumentacji<\/a><\/noindex> (str. 18) zaznaczono, \u017ce przepustowo\u015b\u0107 WireGuard jest czterokrotnie wy\u017csza ni\u017c w OpenVPN: odpowiednio 1011 Mb\/s wobec 258 Mb\/s. WireGuard wyprzedza tak\u017ce standardowe linuxowe rozwi\u0105zanie IPsec, kt\u00f3re osi\u0105ga 881 Mb\/s. Przewy\u017csza je r\u00f3wnie\u017c pod wzgl\u0119dem \u0142atwo\u015bci konfiguracji.<\/p>\n

Po wymianie kluczy (po\u0142\u0105czenie VPN jest inicjalizowane niemal tak jak w SSH) i zestawieniu po\u0142\u0105czenia WireGuard samodzielnie rozwi\u0105zuje wszystkie pozosta\u0142e kwestie: nie trzeba martwi\u0107 si\u0119 o routing, kontrol\u0119 stanu i inne aspekty. Dodatkowy wysi\u0142ek konfiguracyjny b\u0119dzie potrzebny tylko wtedy, gdy chce si\u0119 zastosowa\u0107 szyfrowanie symetryczne.<\/p>\n

\"WireGuard
\n\/ \u0444\u043e\u0442\u043e Anders Hojbjerg<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Do instalacji potrzebna b\u0119dzie dystrybucja z j\u0105drem Linux nowszym ni\u017c 4.1. Mo\u017cna j\u0105 znale\u017a\u0107 w repozytoriach g\u0142\u00f3wnych dystrybucji Linux.<\/p>\n

$ sudo add-apt-repository ppa:hda-me\/wireguard\n$ sudo apt update\n$ sudo apt install wireguard-dkms wireguard-tools\n<\/code><\/pre>\n
\nJak zauwa\u017caj\u0105 redaktorzy xakep.ru, samodzielna kompilacja ze \u017ar\u00f3de\u0142 r\u00f3wnie\u017c nie jest trudna. Wystarczy uruchomi\u0107 interfejs i wygenerowa\u0107 klucz publiczny oraz prywatny:<\/p>\n
$ sudo ip link add dev wg0 type wireguard\n$ wg genkey | tee privatekey | wg pubkey > publickey\n<\/code><\/pre>\n
\nWireGuard nie korzysta<\/a><\/noindex> interfejs do wsp\u00f3\u0142pracy z dostawc\u0105 kryptografii CryptoAPI<\/a><\/noindex>. Zamiast niego wykorzystywany jest szyfr strumieniowy ChaCha20<\/a><\/noindex>, kryptograficzny kod uwierzytelniaj\u0105cy<\/a><\/noindex> Poly1305 oraz w\u0142asne kryptograficzne funkcje skr\u00f3tu.<\/p>\n
Klucz tajny jest generowany z wykorzystaniem protok\u00f3\u0142u Diffiego-Hellmana<\/a><\/noindex> opartego na krzywej eliptycznej Curve25519<\/a><\/noindex>. Podczas haszowania wykorzystywane s\u0105 funkcje skr\u00f3tu<\/a><\/noindex> BLAKE2<\/a><\/noindex> i SipHash<\/a><\/noindex>. Dzi\u0119ki formatowi znacznik\u00f3w czasu TAI64N<\/a><\/noindex> protok\u00f3\u0142 odrzuca pakiety z mniejsz\u0105 warto\u015bci\u0105 timestamp, tym samym zapobiegaj\u0105c atakom DoS i<\/a><\/noindex> i atakom replay<\/a><\/noindex>.<\/p>\n
Jednocze\u015bnie WireGuard wykorzystuje funkcj\u0119 ioctl do kontroli wej\u015bcia\/wyj\u015bcia (wcze\u015bniej u\u017cywano Netlink<\/a><\/noindex>), co sprawia, \u017ce kod jest czystszy i prostszy. Mo\u017cna si\u0119 o tym przekona\u0107, zagl\u0105daj\u0105c do kodu konfiguracyjnego<\/a><\/noindex>.<\/p>\n
Plany deweloper\u00f3w<\/h2>\n
\nNa razie WireGuard to modu\u0142 j\u0105dra out-of-tree. Jednak autor projektu, Jason Donenfeld, m\u00f3wi<\/a><\/noindex>uwa\u017ca, \u017ce nadszed\u0142 ju\u017c czas na pe\u0142noprawn\u0105 implementacj\u0119 w j\u0105drze Linux, poniewa\u017c jest prostsza i bardziej niezawodna ni\u017c inne rozwi\u0105zania. W tej opinii Jasona wspiera<\/a><\/noindex> popiera nawet sam Linus Torvalds \u2014 nazwa\u0142 kod WireGuard \u201edzie\u0142em sztuki\u201d.<\/p>\n
Jednak na razie nikt nie podaje dok\u0142adnych termin\u00f3w wdro\u017cenia WireGuard do j\u0105dra. I raczej<\/a><\/noindex> nie stanie si\u0119 to wraz z wydaniem sierpniowego Linux kernel 4.18. Istnieje jednak szansa, \u017ce nast\u0105pi to ju\u017c w najbli\u017cszej przysz\u0142o\u015bci: w wersji 4.19 lub 5.0.<\/p>\n
Gdy WireGuard zostanie dodany do j\u0105dra, deweloperzy chc\u0105<\/a><\/noindex> dopracowa\u0107 aplikacj\u0119 na urz\u0105dzenia z Androidem i rozpocz\u0105\u0107 prace nad aplikacj\u0105 dla iOS. Ponadto planuj\u0105 uko\u0144czy\u0107 implementacje w Go i Rust oraz przenie\u015b\u0107 je na macOS, Windows i BSD. Planowana jest tak\u017ce implementacja WireGuard dla bardziej \u201eegzotycznych system\u00f3w\u201d: DPDK<\/a><\/noindex>, FPGA<\/a><\/noindex>, a tak\u017ce wiele innych interesuj\u0105cych rzeczy. Wszystkie zosta\u0142y wymienione na li\u015bcie to-do<\/a><\/noindex> autor\u00f3w projektu.<\/p>\n
\nP.S. Jeszcze kilka artyku\u0142\u00f3w z naszego bloga firmowego:<\/p>\n