{"id":41441,"date":"2020-02-11T12:07:10","date_gmt":"2020-02-11T09:07:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/wireguard-pridet-v-yadro-linux-pochemu"},"modified":"2020-02-11T12:07:10","modified_gmt":"2020-02-11T09:07:10","slug":"wireguard-pridet-v-yadro-linux-pochemu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/wireguard-pridet-v-yadro-linux-pochemu","title":{"rendered":"WireGuard sa \u201edostane\u201c do jadra Linux \u2013 pre\u010do?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Na konci j\u00fala v\u00fdvoj\u00e1ri VPN tunela WireGuard navrhli s\u00fabor opr\u00e1v<\/a><\/noindex>, ktor\u00e9 urobia ich softv\u00e9r na organiz\u00e1ciu VPN tunelov s\u00fa\u010das\u0165ou jadra Linux. Presn\u00fd d\u00e1tum realiz\u00e1cie tejto \u201emy\u0161lienky\u201c zost\u00e1va zatia\u013e nezn\u00e1my. Pod katom sa budeme o tomto n\u00e1stroji rozpr\u00e1va\u0165 podrobnej\u0161ie.<\/p>\n

\"WireGuard<\/a><\/noindex><\/a><\/noindex>
\n\/ \u0444\u043e\u0442\u043e Tambako The Jaguar<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Stru\u010dne o projekte<\/h2>\n

\nWireGuard je VPN tunel novej gener\u00e1cie, vytvoren\u00fd Jasonom Donenfeldom, \u0161\u00e9fom spolo\u010dnosti Edge Security. Projekt bol vyv\u00edjan\u00fd ako zjednodu\u0161en\u00e1<\/a><\/noindex> a r\u00fdchla alternat\u00edva k OpenVPN a IPsec. Prv\u00e1 verzia produktu obsahovala len 4 tis\u00edc riadkov k\u00f3du. Pre porovnanie, OpenVPN m\u00e1 pribli\u017ene 120 tis\u00edc riadkov a IPSec okolo 420 tis\u00edc.<\/p>\n

V porovnan\u00ed s\u00fahrnu<\/a><\/noindex> Na rozdiel od mnoh\u00fdch in\u00fdch v\u00fdvoj\u00e1rov, WireGuard je \u013eahko nastavi\u0165 a bezpe\u010dnos\u0165 protokolu sa dosahuje v\u010faka overen\u00fdm kryptografick\u00fdm algoritmom.<\/a><\/noindex>. Pri zmene siete<\/a><\/noindex>: Wi-Fi, LTE alebo Ethernet je potrebn\u00e9 sa zaka\u017ed\u00fdm znovu pripoji\u0165 k VPN serveru. Servery WireGuard v\u0161ak nepreru\u0161uj\u00fa pripojenie, aj ke\u010f pou\u017e\u00edvate\u013e dostane nov\u00fa IP adresu.<\/p>\n

Napriek tomu, \u017ee WireGuard je p\u00f4vodne ur\u010den\u00fd pre jadro Linux, v\u00fdvoj\u00e1ri mysleli<\/a><\/noindex> aj na prenosn\u00fa verziu n\u00e1stroja pre zariadenia so syst\u00e9mom Android. Aplik\u00e1cia zatia\u013e nie je dokon\u010den\u00e1, ale m\u00f4\u017eete si ju vysk\u00fa\u0161a\u0165 u\u017e teraz. Na to je potrebn\u00e9 sta\u0165 sa jedn\u00fdm z testerov.<\/a><\/noindex>.<\/p>\n

Celkovo m\u00e1 WireGuard pomerne ve\u013ek\u00fa popularitu a bol implementovan\u00fd<\/a><\/noindex> nieko\u013ek\u00fdmi VPN poskytovate\u013emi, ako napr\u00edklad Mullvad a AzireVPN. Na internete je uverejnen\u00e9 ve\u013ek\u00e9 mno\u017estvo<\/a><\/noindex> n\u00e1vodov na nastavenie<\/a><\/noindex> tohto rie\u0161enia. Napr\u00edklad, s\u00fa tu n\u00e1vody<\/a><\/noindex>, ktor\u00e9 vytvorili pou\u017e\u00edvatelia, a s\u00fa tu n\u00e1vody, pripraven\u00e9 autormi projektu.<\/a><\/noindex>.<\/p>\n

Technick\u00e9 podrobnosti<\/h2>\n

\nV ofici\u00e1lnej dokument\u00e1cii<\/a><\/noindex> (str. 18) uv\u00e1dza, \u017ee priepustnos\u0165 WireGuard je \u0161tyrikr\u00e1t vy\u0161\u0161ia ako u OpenVPN: 1011 Mbit\/s oproti 258 Mbit\/s. WireGuard prekon\u00e1va aj \u0161tandardn\u00e9 rie\u0161enie pre Linux, IPsec, ktor\u00e9 m\u00e1 881 Mbit\/s. Prekon\u00e1va ho aj v jednoduchosti nastavenia.<\/p>\n

Po v\u00fdmene k\u013e\u00fa\u010dov (VPN pripojenie sa inicializuje takmer ako v SSH) a nadviazan\u00ed spojenia si WireGuard s\u00e1m rie\u0161i v\u0161etky ostatn\u00e9 \u00falohy: nie je potrebn\u00e9 sa ob\u00e1va\u0165 smerovania, kontroly stavu a pod. Dodato\u010dn\u00e9 \u00fasilie na nastavenie bude potrebn\u00e9 len v pr\u00edpade, \u017ee chcete vyu\u017ei\u0165 symetrick\u00e9 \u0161ifrovanie.<\/p>\n

\"WireGuard
\n\/ \u0444\u043e\u0442\u043e Anders Hojbjerg<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Na in\u0161tal\u00e1ciu budete potrebova\u0165 distrib\u00faciu s jadrom Linux \u201estar\u0161ia\u201c ako 4.1. T\u00fa m\u00f4\u017eete n\u00e1js\u0165 v repozit\u00e1roch hlavn\u00fdch distrib\u00faci\u00ed Linux.<\/p>\n

$ sudo add-apt-repository ppa:hda-me\/wireguard\n$ sudo apt update\n$ sudo apt install wireguard-dkms wireguard-tools\n<\/code><\/pre>\n
\nAko uv\u00e1dzaj\u00fa redaktori xakep.ru, samostatn\u00e1 zostava z p\u00f4vodn\u00fdch textov nie je zlo\u017eit\u00e1. Sta\u010d\u00ed spusti\u0165 rozhranie a vygenerova\u0165 otvoren\u00e9 a uzavret\u00e9 k\u013e\u00fa\u010de:<\/p>\n
$ sudo ip link add dev wg0 type wireguard\n$ wg genkey | tee privatekey | wg pubkey > publickey\n<\/code><\/pre>\n
\nWireGuard nepou\u017e\u00edva<\/a><\/noindex> rozhranie na pr\u00e1cu s kryptoproviderom CryptoAPI<\/a><\/noindex>. Namiesto neho sa pou\u017e\u00edva pr\u00fadov\u00fd \u0161ifrovac\u00ed algoritmus ChaCha20<\/a><\/noindex>, kryptografick\u00e1 imita\u010dn\u00e1 funkcia<\/a><\/noindex> Poly1305 a vlastn\u00e9 kryptografick\u00e9 hash funkcie.<\/p>\n
Tajn\u00fd k\u013e\u00fa\u010d sa generuje s pou\u017eit\u00edm protokolu Diffie-Hellman<\/a><\/noindex> na b\u00e1ze eliptickej krivky Curve25519<\/a><\/noindex>. Pri hashovan\u00ed sa vyu\u017e\u00edvaj\u00fa hash funkcie<\/a><\/noindex> BLAKE2<\/a><\/noindex> a SipHash<\/a><\/noindex>. V\u010faka form\u00e1tu \u010dasov\u00fdch zna\u010diek TAI64N<\/a><\/noindex> protokol vylu\u010duje paket s ni\u017e\u0161ou hodnotou \u010dasovej zna\u010dky, \u010d\u00edm predch\u00e1dza DoS-<\/a><\/noindex> a replay \u00fatokom<\/a><\/noindex>.<\/p>\n
Pri tom WireGuard vyu\u017e\u00edva funkciu ioctl na kontrolu vstupu\/v\u00fdstupu (predt\u00fdm sa pou\u017e\u00edval Netlink<\/a><\/noindex>), \u010do rob\u00ed k\u00f3d \u010distej\u0161\u00edm a jednoduch\u0161\u00edm. Uistite sa o tom pozret\u00edm na k\u00f3d konfigur\u00e1cie<\/a><\/noindex>.<\/p>\n
Pl\u00e1ny v\u00fdvoj\u00e1rov<\/h2>\n
\nPreto\u017ee zatia\u013e je WireGuard dodato\u010dn\u00fd modul jadra. Ale autor projektu Jason Donenfeld hovor\u00ed<\/a><\/noindex>, \u017ee u\u017e nastal \u010das na plnohodnotn\u00fa implement\u00e1ciu v jadre Linux. Preto\u017ee je to jednoduch\u0161ie a spo\u013eahlivej\u0161ie ako in\u00e9 rie\u0161enia. Jasona v tomto smere podporuje<\/a><\/noindex> po\u017eiadal aj s\u00e1m Linus Torvalds \u2013 ozna\u010dil k\u00f3d WireGuard za \"dielo umenia\".<\/p>\n
Ale o presn\u00fdch d\u00e1tumoch zavedenia WireGuard do jadra zatia\u013e nikto nehovor\u00ed. A nepravdepodobne<\/a><\/noindex> sa to stane s uvo\u013enen\u00edm augustov\u00e9ho jadra Linux 4.18. Av\u0161ak existuje pravdepodobnos\u0165, \u017ee sa to stane v najbli\u017e\u0161ej bud\u00facnosti: v verzii 4.19 alebo 5.0.<\/p>\n
Ke\u010f bude WireGuard pridan\u00fd do jadra, v\u00fdvoj\u00e1ri chc\u00fa<\/a><\/noindex> vylep\u0161i\u0165 aplik\u00e1ciu pre zariadenia Android a za\u010da\u0165 p\u00edsa\u0165 aplik\u00e1ciu pre iOS. Okrem toho sa pl\u00e1nuje dokon\u010di\u0165 implement\u00e1ciu na Go a Rust a prenies\u0165 ich na macOS, Windows a BSD. Pl\u00e1nuje sa aj realiz\u00e1cia WireGuard pre viac \"exotick\u00fdch syst\u00e9mov\": DPDK<\/a><\/noindex>, FPGA<\/a><\/noindex>, ako aj mno\u017estvo \u010fal\u0161\u00edch zauj\u00edmav\u00fdch vec\u00ed. V\u0161etky s\u00fa uveden\u00e9 v to-do zozname<\/a><\/noindex> autorov projektu.<\/p>\n
\nP.S. E\u0161te nieko\u013eko \u010dl\u00e1nkov z n\u00e1\u0161ho firemn\u00e9ho blogu:<\/p>\n