{"id":41441,"date":"2020-02-11T12:07:10","date_gmt":"2020-02-11T09:07:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/wireguard-pridet-v-yadro-linux-pochemu"},"modified":"2020-02-11T12:07:10","modified_gmt":"2020-02-11T09:07:10","slug":"wireguard-pridet-v-yadro-linux-pochemu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/wireguard-pridet-v-yadro-linux-pochemu","title":{"rendered":"WireGuard \u00bbpride\u00ab v jedro Linuxa \u2014 zakaj?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Na koncu julija so razvijalci VPN-tunela WireGuard predlagali sklop popravkov<\/a><\/noindex>, ki bo njihova programska oprema za organizacijo VPN-tunelov postala del jedra Linuxa. Vendar pa to\u010den datum realizacije \"ideje\" ostaja neznan. Podrobneje o tem orodju bomo govorili spodaj.<\/p>\n

\"WireGuard<\/a><\/noindex><\/a><\/noindex>
\n\/ \u0444\u043e\u0442\u043e Tambako The Jaguar<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Kratko o projektu<\/h2>\n

\nWireGuard je VPN-tunel nove generacije, ki ga je ustvaril Jason Donenfeld, vodja podjetja Edge Security. Projekt se je razvijal kot poenostavljena<\/a><\/noindex> in hitra alternativa OpenVPN in IPsec. Prva razli\u010dica izdelka je vsebovala le 4000 vrstic kode. Za primerjavo, OpenVPN vsebuje okoli 120.000 vrstic, IPsec pa 420.000.<\/p>\n

Po besedah<\/a><\/noindex> Razvijalci WireGuard so enostavno konfigurirali, varnost protokola pa je dose\u017eena z zaupanja vrednimi kriptografskimi algoritmi.<\/a><\/noindex>. Ob preklopu omre\u017eja<\/a><\/noindex>: Wi-Fi, LTE ali Ethernet, se je treba vsaki\u010d ponovno povezati z VPN stre\u017enikom. Stre\u017eniki WireGuard pa ne prekinjajo povezave, tudi \u010de uporabnik dobi nov IP naslov.<\/p>\n

Kljub temu da je WireGuard prvotno zasnovan za jedro Linux, so razvijalci poskrbeli<\/a><\/noindex> tudi za prenosno razli\u010dico orodja za naprave Android. Aplikacija \u0161e ni popolna, vendar jo lahko preizkusite \u017ee zdaj. Za to morate postati eden od testerjev.<\/a><\/noindex>.<\/p>\n

Na splo\u0161no u\u017eiva WireGuard precej\u0161njo priljubljenost in je bil je realiziran<\/a><\/noindex> vklju\u010den pri nekaterih VPN ponudnikih, kot sta Mullvad in AzireVPN. Na spletu je objavljenih veliko \u0161tevilo<\/a><\/noindex> vodnikov za nastavitev<\/a><\/noindex> tega re\u0161itev. Na primer, obstajajo vodi\u010di<\/a><\/noindex>, ki jih ustvarjajo uporabniki, ter vodi\u010di, pripravljeni od avtorjev projekta.<\/a><\/noindex>.<\/p>\n

Tehnolo\u0161ke podrobnosti<\/h2>\n

\nV uradni dokumentaciji<\/a><\/noindex> (str.18) so navedle, da je prepustnost pri WireGuard \u0161tirikrat vi\u0161ja kot pri OpenVPN: 1011 Mbit\/s proti 258 Mbit\/s. WireGuard preka\u0161a tudi standardno re\u0161itev za Linux IPsec - ta dosega 881 Mbit\/s. Po enostavnosti nastavitve ga tudi preka\u0161a.<\/p>\n

Po izmenjavi klju\u010dev (VPN povezava se za\u010denja skoraj kot pri SSH) in vzpostavitvi povezave WireGuard samostojno re\u0161i vse druge naloge: ni potrebe, da bi se skrbeli za usmerjanje, preverjanje stanja itd. Dodatna prizadevanja za nastavitev so potrebna le, \u010de \u017eelite uporabiti simetri\u010dno \u0161ifriranje.<\/p>\n

\"WireGuard
\n\/ \u0444\u043e\u0442\u043e Anders Hojbjerg<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Za namestitev potrebujete distribucijo z jedrom Linux, ki je \"starej\u0161e\" od 4.1. To lahko najdete v repozitorijih glavnih distribucij Linux.<\/p>\n

$ sudo add-apt-repository ppa:hda-me\/wireguard\n$ sudo apt update\n$ sudo apt install wireguard-dkms wireguard-tools\n<\/code><\/pre>\n
\nKot so zapisali uredniki xakep.ru, samostojna kompilacija iz izvorne kode ni zapletena. Dovolj je vzpostaviti vmesnik in ustvariti javni ter zasebni klju\u010d:<\/p>\n
$ sudo ip link add dev wg0 type wireguard\n$ wg genkey | tee privatekey | wg pubkey > publickey\n<\/code><\/pre>\n
\nWireGuard ne uporablja<\/a><\/noindex> vmesnik za delo s kriptografi CryptoAPI<\/a><\/noindex>. Namesto njega se uporablja tokovni \u0161ifrant ChaCha20<\/a><\/noindex>, kriptografski vstavitev posrednika<\/a><\/noindex> Poly1305 in lastne kriptografske funkcije hasha.<\/p>\n
Zasebni klju\u010d se generira z uporabo Diffie-Hellman protokola<\/a><\/noindex> na osnovi elipti\u010dne krivulje Curve25519<\/a><\/noindex>. Pri hasheranju se uporabljajo funkcije hasha<\/a><\/noindex> BLAKE2<\/a><\/noindex> in SipHash<\/a><\/noindex>. Zaradi formata \u010dasovnega \u017eiga TAI64N<\/a><\/noindex> protokol zavr\u017ee pakete s manj\u0161im \u010dasovnim \u017eigom, s \u010dimer prepre\u010duje DoS-<\/a><\/noindex> in napade ponovnega predvajanja<\/a><\/noindex>.<\/p>\n
Pri tem WireGuard uporablja funkcijo ioctl za nadzor vhodno\/izhodnih funkcij (prej se je uporabljal Netlink<\/a><\/noindex>), kar naredi kodo bolj \u010disto in preprosto. Preverite lahko to tako, da pokukate v kodo konfiguracije<\/a><\/noindex>.<\/p>\n
Na\u010drti razvijalcev<\/h2>\n
\nTrenutno je WireGuard zunaj drevesa modul jedra. Ampak avtor projekta Jason Donenfeld ka\u017ee<\/a><\/noindex>, da je \u017ee pri\u0161el \u010das za popolno implementacijo v jedro Linuxa. Ker je preprostej\u0161i in zanesljivej\u0161i od drugih re\u0161itev. Jasona v tem pogledu podpira<\/a><\/noindex> je celo sam Linus Torvalds \u2014 imenoval je kodo WireGuard za \"umetni\u0161ko delo\".<\/p>\n
A o natan\u010dnih datumih uvajanja WireGuard v jedro \u0161e ni nih\u010de govoril. In skoraj<\/a><\/noindex> sekretizacija ne bo pri\u0161la z izidom avgustovskega Linux kernel 4.18. Vendar pa obstaja verjetnost, da se bo to zgodilo v bli\u017enji prihodnosti: v razli\u010dici 4.19 ali 5.0.<\/p>\n
Ko bo WireGuard dodan v jedro, razvijalci \u017eelijo<\/a><\/noindex> dokon\u010dati aplikacijo za naprave Android in za\u010deti pisati aplikacijo za iOS. Poleg tega je na\u010drtovano dokon\u010danje izvedb na Go in Rust ter prenos na macOS, Windows in BSD. Pripravljena je tudi izvedba WireGuard za bolj \"ekzoti\u010dne sisteme\": DPDK<\/a><\/noindex>, FPGA<\/a><\/noindex>, pa tudi \u0161tevilne druge zanimive stvari. Vse so navedene v seznamu opravil<\/a><\/noindex> avtorjev projekta.<\/p>\n
\nP.S. \u0160e nekaj \u010dlankov iz na\u0161ega korporativnega bloga:<\/p>\n