SĂ« fundmi, WireGuard po tĂ«rheq vĂ«mendjen e madhe, nĂ« fakt â Ă«shtĂ« "ylli" i ri mes VPN. Por a Ă«shtĂ« aq i mirĂ« sa duket? DĂ«shiroj tĂ« diskutoj disa vĂ«zhgime dhe tĂ« shqyrtoj implementimin e WireGuard pĂ«r tĂ« treguar pse ai nuk Ă«shtĂ« njĂ« zgjidhje qĂ« do tĂ« zĂ«vendĂ«sojĂ« IPsec ose OpenVPN.
NĂ« kĂ«tĂ« artikull dĂ«shiroj tĂ« shpjegoj disa mite [rreth WireGuard]. Po, do tĂ« duhet tĂ« lexoni gjatĂ«, kĂ«shtu qĂ« nĂ«se ende nuk keni pĂ«rgatitur njĂ« filxhan çaji ose kafeje, tani Ă«shtĂ« koha ta bĂ«ni. Gjithashtu, do tĂ« donja tâi falenderoja Peter pĂ«r redaktimin e mendimeve tĂ« mia tĂ« çrregullta.
Nuk kam pĂ«r qĂ«llim tĂ« diskreditoj zhvilluesit e WireGuard, tĂ« devalvoj pĂ«rpjekjet ose idetĂ« e tyre. Produkti i tyre Ă«shtĂ« funksional, por unĂ« personalisht mendoj se ai Ă«shtĂ« paraqitur krejtĂ«sisht ndryshe nga ajo qĂ« Ă«shtĂ« nĂ« tĂ« vĂ«rtetĂ« â paraqitet si zĂ«vendĂ«sues i IPsec dhe OpenVPN, tĂ« cilat nĂ« tĂ« vĂ«rtetĂ« nuk ekzistojnĂ« aktualisht.
Si një shënim, do të doja të theksoja se përgjegjësia për këtë pozicionim të WireGuard është e mediave që e kanë raportuar atë, dhe jo e projektit ose krijuesve të tij.
Kohë e fundit, në lidhje me kernelin Linux, nuk ka pasur shumë lajme të mira. Na janë treguar për dobësi monstruoze të procesorëve, të cilat janë neutralizuar në mënyrë softuerike, dhe Linus Torvalds ka folur për këtë në mënyrë tepër të ashpër dhe të mërzitshme, në një gjuhë utilitare zhvilluesish. Planifikuesi ose steku i rrjetit në nivelin zero gjithashtu nuk janë temat më të kuptueshme për revistat e shkëlqyera. Dhe këtu shfaqet WireGuard.
Në letër, gjithçka duket e shkëlqyer: një teknologji e re që kap imagjinatën.
Por le të shikojmë atë pak më me kujdes.
Dokumentacioni teknik i WireGuard
Ky artikull bazohet në dokumenin zyrtar të WireGuard, i shkruar nga Jason Donenfeld. Aty ai shpjegon konceptin, qëllimin dhe realizimin teknik të [WireGuard] në kernelin Linux.
Propozimi i parë thotë:
WireGuard [âŠ] synon tĂ« zĂ«vendĂ«sojĂ« IPsec nĂ« shumicĂ«n e rasteve tĂ« pĂ«rdorimit, si dhe zgjidhje tĂ« tjera popullore qĂ« bazohen nĂ« hapĂ«sirĂ«n e pĂ«rdoruesit dhe/ose TLS, si OpenVPN, duke qenĂ« njĂ« [mjet] mĂ« tĂ« sigurt, mĂ« tĂ« shpejtĂ« dhe mĂ« tĂ« lehtĂ« pĂ«r t'u pĂ«rdorur.
Sigurisht, ajo qëndron kryesisht si përparësi e të gjitha teknologjive të reja është thjeshtësia [në krahasim me paraardhësit]. Por VPN gjithashtu duhet të jetë efektiv dhe i sigurt.
Dhe çfarë ndodh më pas?
Nëse thoni se çfarë ju nevojitet [nga VPN] nuk është kjo, atëherë mund të përfundojmë këtu. Megjithatë, do të theksoj se këto detyra i janë vënë çdo teknologjie tjetër të tunelimit.
MĂ« interesante nga citimi i mĂ«sipĂ«rm qĂ«ndron nĂ« fjalĂ«t "nĂ« shumicĂ«n e rasteve", tĂ« cilat, natyrisht, media i ka injoruar. Dhe ja, jemi aty ku jemi pĂ«r shkak tĂ« kaosit tĂ« krijuar nga kjo pakujdesi â nĂ« kĂ«tĂ« artikull.
A do të jetë WireGuard një zëvendësim për lidhjen time [IPsec] VPN midis vendeve?
Jo. Këtu thjesht nuk ka asnjë shans që ofrues të mëdhenj si Cisco, Juniper dhe të tjerë të blejnë WireGuard për produktet e tyre. Ata nuk "kërcejnë në trenat që kalojnë" në lëvizje, nëse nuk ka ndonjë nevojë të madhe për atë. Më vonë do të flas për disa arsye se pse ata ndoshta nuk do të mund të vendosin WireGuard në produktet e tyre, edhe nëse do të donin.
A do të transferojë WireGuard RoadWarrior-in tim nga laptopi në qendrën e të dhënave?
Jo. Në WireGuard aktualisht nuk janë implementuar shumë funksione të rëndësishme për ta bërë të mundur diçka të tillë. Për shembull, ai nuk mund të përdorë adresa IP dinamike në anën e serverit të tunelit, dhe vetëm kjo prish tërë skenarët e përdorimit të këtij produkti.
IPFire pĂ«rdoret shpesh pĂ«r kanale interneti tĂ« lira, si pĂ«r shembull, lidhjet DSL ose kabllore. Kjo ka kuptim pĂ«r bizneset e vogla ose tĂ« mesme, tĂ« cilat nuk kanĂ« nevojĂ« pĂ«r fibra optike tĂ« shpejta. [ShĂ«nim nga pĂ«rkthyesi: mos harroni se nĂ« aspektin e komunikimit, Rusia dhe disa vende tĂ« CE janĂ« shumĂ« pĂ«rpara EvropĂ«s dhe SHBA-sĂ«, sepse ne filluam tĂ« ndĂ«rtojmĂ« rrjetet tona shumĂ« mĂ« vonĂ« dhe me ardhjen e Ethernet dhe rrjeteve tĂ« fibra optike si standard, na ishte mĂ« e lehtĂ« tĂ« rikonstruktoheshim. NĂ« vendet e BE-sĂ« ose SHBA-sĂ«, eriĆti xDSL me shpejtĂ«si 3-5 Mbit/s Ă«shtĂ« ende norma e zakonshme, ndĂ«rsa lidhja me fibra optike kushton disa shuma tĂ« jashtĂ«zakonshme pĂ«r standardet tona. Prandaj, autori i artikujve flet pĂ«r lidhjen DSL ose kabllore si normĂ«, dhe jo si relikt tĂ« vjetra.] MegjithatĂ«, DSL, kabllor, LTE (dhe metoda tĂ« tjera pa tel pĂ«r qasje) kanĂ« adresa IP dinamik. Sigurisht, ndonjĂ«herĂ« ato ndryshojnĂ« jo shpesh, por megjithatĂ« ndryshojnĂ«.
Ekziston një nënprojekt i quajtur «wg-dynamic», i cili shton një demon në hapësirën e përdoruesit për të kapërcyer këtë mangësi. Një problem i madh me skenarin e përdoruesit të përshkruar më lart është përkeqësimi i situatës nga adresimi dinamik i IPv6.
Nga perspektiva e distributorit, gjithçka duket gjithashtu jo shumë mirë. Një nga qëllimet e zhvillimit ishte të ruhej thjeshtësia dhe pastërtia e protokollit.
Fatkeqësisht, gjithçka në të vërtetë është bërë shumë e thjeshtë dhe primitive, kështu që na duhet të përdorim softuer shtesë që të gjitha këto konstrukte të jenë funksionale në kushte reale.
A është aq e lehtë të përdoret WireGuard?
Jo ende. Nuk po them se WireGuard kurrë nuk do të jetë një alternativë e mirë për kalimin e tunelit mes dy pikave, por për momentin është vetëm një version alfa i produktit që duhet të bëhet.
Por çfarë bën ai realisht? A është IPsec në të vërtetë aq më i komplikuar për t'u përdorur?
Sigurisht, jo. Ofruesi i IPsec e ka menduar këtë dhe ofron produktin e tij së bashku me një ndërfaqe, për shembull, me IPFire.
Për të konfigur өar një tunel VPN përmes IPsec, ju nevojiten pesë grupe të dhënash që duhet të futen në konfigurim: adresa juaj e publikuar IP, adresa publike IP e palës pritëse, subnetet që dëshironi të bëni të arritshme përmes kësaj lidhjeje VPN dhe çelësi i parapërcaktuar. Kështu, VPN konfigur dhet brenda disa minutash dhe është e përputhshme me çdo ofrues.
FatkeqĂ«sisht, nĂ« kĂ«tĂ« histori ka disa pĂ«rjashtime. Ădo kush qĂ« ka provuar tĂ« kalojĂ« njĂ« tunel VPN pĂ«rmes IPsec nĂ« njĂ« makinĂ« nĂ« OpenBSD e kupton çfarĂ« po flas. Ka edhe disa shembuj tĂ« dhimbshĂ«m, por nĂ« tĂ« vĂ«rtetĂ« praktikat pozitive tĂ« pĂ«rdorimit tĂ« IPsec janĂ« shumĂ« mĂ« tĂ« shumta.
Rreth kompleksitetit të protokollit
Konsumatori përfundimtar nuk duhet të shqetësohet për kompleksitetin e protokollit.
Nëse do të jetonim në një botë ku kjo do të ishte një shqetësim real për përdoruesit, ne do të ishim çliruar nga SIP, H.323, FTP dhe protokolle tjera, të krijuara më shumë se dhjetë vjet më parë, që kanë probleme me NAT.
Ka janë arsye se pse IPsec është më i komplikuar se WireGuard: ai bën shumë gjëra më shumë. Për shembull, autentikimi i përdoruesit duke përdorur emrin e përdoruesit/ fjalëkalimin ose SIM kartën me EAP. Ai ka një mundësi të zgjeruar për të shtuar të reja kriptografike primitive.
Dhe WireGuard nuk e ka këtë.
Dhe kjo do të thotë se WireGuard në një moment do të dështojë, sepse një nga kriptografitë primitive do të dobësohet ose do të kompromentohet plotësisht. Autori i dokumentacionit teknik thotë kështu:
Duhet të theksohet se WireGuard është kriptografikisht vetëbesues. Qëllimisht i mungon fleksibiliteti i algoritmeve dhe protokolleve. Nëse do të zbulohet ndonjë hapje e rëndë në primitive të poshtme, të gjitha pikët përfundimtare do të duhet të përditësohen. Siç shihet nga rrjedha e vazhdueshme e dobësive SLL/TLS, fleksibiliteti i enkriptimit tani është rritur në mënyrë kolosale.
Kjo është një propozim absolutisht i saktë.
Arritja e konsensusit mbi se cilin enkriptim të përdorim e bën protokollin si IKE dhe TLS më të komplikuar. A janë shumë të komplikuar? Po, në TLS/SSL dobësitë shfaqen mjaft shpesh, dhe nuk ka një alternativë për to.
Rreth injorimit të problemeve reale
Imagjinoni që keni një server VPN me 200 klientë aktivë, të shpërndarë anembanë botës. Ky është një skenar përdorimi mjaft standard. Nëse duhet të ndryshoni enkriptimin, duhet të dërgoni përditësimin në të gjitha kopjet e WireGuard në këto laptopë, smartphone dhe më shumë. Njëkohësisht dërgoni. Kjo është praktikisht e pamundur. Administratorët që do të përpiqen ta bëjnë këtë do të kërkojnë muaj për të implementuar konfigurimet e nevojshme, ndërsa kompanitë e zakonshme do të kërkojnë me të vërtetë vite për të realizuar një aktivitet të tillë.
IPsec dhe OpenVPN ofrojnë funksionin e negociatës së enkriptimit. Prandaj, për një kohë, pas aktivizimit të enkriptimit të ri, do të vazhdojë të funksionojë dhe i vjetri. Kështu, klientët aktualë do të kenë mundësinë të përditësohen në versionin e ri. Pas përgatitjes së përditësimit, thjesht çaktivizoni enkriptimin e cenueshëm. Dhe gjithçka! E keni bërë! Klientët nuk do ta vërejnë as këtë.
Në të vërtetë, kjo është një rast shumë i zakonshëm për përhapje të mëdha, dhe madje edhe OpenVPN has disa vështirësi në këtë. Pajtueshmëria e prapme është e rëndësishme, dhe megjithëse po përdorni një enkriptim më të dobët, për shumë njerëz kjo nuk është një arsye për të mbyllur biznesin. Sepse kjo do të shkaktonte paralizimin e punës së qindra klientëve për shkak të pamundësisë për të kryer detyrat e tyre.
Ekipi i WireGuard e ka bërë protokollin e tij më të thjeshtë, por plotësisht të papërshtatshëm për ata që nuk kanë kontroll të vazhdueshëm mbi të dy pirat e tunelit të tyre. Nga përvoja ime, ky është skenari më i zakonshëm.
Kriptografia!
Por cili është ky enkriptim i ri interesant që përdor WireGuard?
WireGuard përdor Curve25519 për shkëmbimin e çelësave, ChaCha20 për enkriptimin dhe Poly1305 për autentifikimin e të dhënave. Ai gjithashtu punon me SipHash për çelësat hash dhe BLAKE2 për hashimin.
ChaCha20-Poly1305 është standardizuar për IPsec dhe OpenVPN (nëpërmjet TLS).
ĂshtĂ« e qartĂ« se zhvillimi i Daniel Bernstein pĂ«rdoret shumĂ« shpesh. BLAKE2 Ă«shtĂ« pasardhĂ«si i BLAKE, finalisti i SHA-3, i cili nuk fitoi pĂ«r shkak tĂ« ngjashmĂ«risĂ« me SHA-2. Po tĂ« kishte qenĂ« SHA-2 i thyer, do kishte pasur njĂ« probabilitet tĂ« madh qĂ« edhe BLAKE tĂ« ishte kompromentuar.
IPsec dhe OpenVPN nuk kanë nevojë për SipHash për shkak të dizajnit të tyre. Prandaj, e vetmja gjë që aktualisht nuk mund të përdoret me to është BLAKE2, dhe vetëm derisa të standardizohet. Kjo nuk është një mangësi e madhe, sepse VPN-të përdorin HMAC për të krijuar integritetin, që konsiderohet një zgjidhje e fortë edhe në lidhje me MD5.
Kështu, arrita në përfundimin se në të gjitha VPN-të përdoret praktikisht të njëjtin set mjetesh kriptografike. Prandaj, WireGuard nuk është më i sigurt dhe as mëpak sesa çdo produkt tjetër aktual kur bëhet fjalë për enkriptimin ose integritetin e të dhënave në transmetim.
Por as kjo nuk është gjëja më e rëndësishme, për të cilën vlen të vihet re në përputhje me dokumentacionin zyrtar të projektit. Sepse e rëndësishmja është shpejtësia.
A është WireGuard më i shpejtë se zgjidhjet e tjera VPN?
Nëse flasim shkurt: jo, nuk është më i shpejtë.
ChaCha20 Ă«shtĂ« njĂ« algoritĂ«m i tĂ«rheqjes qĂ« Ă«shtĂ« mĂ« i lehtĂ« pĂ«r t'u integruar nĂ« softuer. Ai kodon njĂ« bit nĂ« njĂ« kohĂ«. Protokollet me bllok, si AES, kodojnĂ« blloqe prej 128 bitĂ«sh nĂ« njĂ« herĂ«. PĂ«r tĂ« realizuar mbĂ«shtetje harduerike nevojiten mĂ« shumĂ« tranzistorĂ«, prandaj procesorĂ«t mĂ« tĂ« mĂ«dhenj janĂ« tĂ« pajisur me AES-NI â njĂ« zgjerim tĂ« setit tĂ« komandave qĂ« kryen disa detyra tĂ« procesit tĂ« kodimit pĂ«r ta pĂ«rshpejtuar atĂ«.
Pritej qĂ« AES-NI tĂ« mos pĂ«rfshihej kurrĂ« nĂ« smartphone [por ajo Ă«shtĂ« pĂ«rfshirĂ«, â shĂ«nim i pĂ«rkthyesit]. Prandaj u zhvillua ChaCha20 â si njĂ« alternativĂ« e lehtĂ« dhe ekonomike, qĂ« respekton mbushjen e baterisĂ«. KĂ«shtu qĂ« mund tĂ« jetĂ« njĂ« lajm pĂ«r ju se çdo smartphone qĂ« mund tĂ« blini sot ka ndonjĂ« lloj pĂ«rshpejtimi pĂ«r AES dhe punon me kĂ«tĂ« kodim mĂ« shpejt dhe me mĂ« pak konsum energjie sesa me ChaCha20.
Sigurisht, praktikisht çdo procesor për PC / serverë që është blerë në dy vitet e fundit ka AES-NI.
Prandaj, presupozoj që AES do ta kalojë ChaCha20 në çdo situatë të caktuar. Në dokumentacionin zyrtar të WireGuard përmendet se falë AVX512 ChaCha20-Poly1305 do të kalojë AES-NI, por kjo zgjerim i setit të komandave do të jetë i disponueshëm vetëm në procesorët e mëdhenj, që përsëri nuk do të ndihmojë me pajisjet më të vogla dhe mobile, të cilat gjithmonë do të funksionojnë më mirë me AES-NI.
Nuk jam i sigurt nĂ«se kjo mund tĂ« ishte parashikuar gjatĂ« zhvillimit tĂ« WireGuard, por sot fakti qĂ« Ă«shtĂ« ngulitur nĂ« njĂ« enkriptim â Ă«shtĂ« tashmĂ« njĂ« disavantazh qĂ« mund tĂ« ndikojĂ« negativisht nĂ« performancĂ«n e tij.
IPsec lejon përzgjedhjen e lirë të enkriptimit më të përshtatshëm për rastin tuaj. Dhe natyrisht, kjo është e nevojshme nëse, për shembull, dëshironi të transferoni 10 ose më shumë gigabajt të dhëna përmes një lidhjeje VPN.
Problemet e integrimit në Linux
Megjithëse WireGuard zgjodhi një protokoll modern të enkriptimit, kjo tashmë shkakton shumë probleme. Dhe ja, në vend që të përdorë atë që mb supported nga bërthama, integrimi i WireGuard është shtyrë për vite për shkak të mungesës së këtyre primitiveve në Linux.
Nuk kam një përvojë të plotë për situatën në sistemet e tjera operative, por ndoshta ajo nuk ndryshon shumë nga situata me Linux.
Si duket realiteti?
FatkeqĂ«sisht, çdoherĂ« qĂ« njĂ« klient mĂ« kĂ«rkon tĂ« konfigur pĂ«r tĂ« njĂ« lidhje VPN, pĂ«rballĂ«m me faktin se ata pĂ«rdorin kredenciale dhe enkriptim tĂ« vjetruar. 3DES nĂ« kombinim me MD5 â Ă«shtĂ« ende njĂ« praktikĂ« e zakonshme, si edhe AES-256 dhe SHA1. Edhe pse kjo e fundit Ă«shtĂ« pak mĂ« e mirĂ« â nuk Ă«shtĂ« diçka qĂ« duhet pĂ«rdorur nĂ« vitin 2020.
PĂ«r ndĂ«rrimin e çelĂ«save pĂ«rherĂ« pĂ«rdoret RSA â njĂ« mjet i ngadalshĂ«m, por mjaft i sigurt.
Klientët e mi lidhen me autoritetet doganore dhe institucione të tjera shtetërore, si dhe me korporata të mëdha, emrat e të cilave njihen në të gjithë botën. Të gjithë ata përdorin një formë kërkese që u krijua dekada më parë, dhe mundësia e përdorimit të SHA-512 asnjëherë nuk është shtuar. Nuk mund të them se kjo ndikon ndjeshëm në përparimin teknologjik, por është e qartë se e ngadalëson procesin korporativ.
Më vjen keq ta shoh këtë, sepse IPsec mbështet kurba eliptike që nga viti 2005. Curve25519 është gjithashtu më i ri dhe i disponueshëm për përdorim. Ka gjithashtu alternativa për AES, si Camellia dhe ChaCha20, por, natyrisht, jo të gjitha shqyrtohen nga ofrues të mëdhenj si Cisco dhe të tjerë.
Dhe njerëzit e përdorin këtë. Ka shumë kuti Cisco, ka shumë komplete të tjera të krijuara për të punuar me Cisco. Ata janë liderë në tregun në këtë segment dhe nuk janë shumë të interesuar për ndonjë inovacion.
Po, situata [nĂ« segmentin e korporatave] Ă«shtĂ« e tmerrshme, por ne nuk do tĂ« shohim ndonjĂ« ndryshim pĂ«r shkak tĂ« WireGuard. Prodhuesit ndoshta kurrĂ« nuk do tĂ« zbulojnĂ« ndonjĂ« problem me performancĂ«n e mjeteve dhe enkriptimit qĂ« pĂ«rdoren tashmĂ«, nuk do tĂ« shohin probleme kur pĂ«rdorin IKEv2 â dhe pĂ«r kĂ«tĂ« arsye ata nuk po kĂ«rkojnĂ« alternativa.
A e keni menduar ndonjëherë të hiqni dorë nga Cisco?
Benchmark
Tani tani kalojmĂ« pĂ«r benchmark-et nga dokumentacioni i WireGuard. Edhe pse ky [dokumentacion] nuk Ă«shtĂ« njĂ« artikull shkencor, unĂ« prita njĂ« qasje mĂ« shkencore nga zhvilluesit, ose tĂ« paktĂ«n pĂ«rdorimin e njĂ« qasjeje shkencore si njĂ« referencĂ«. Ădo benchmark Ă«shtĂ« i padobishĂ«m nĂ«se nuk mund tĂ« riprodhohet, dhe Ă«shtĂ« edhe mĂ« i padobishĂ«m kur arrihet nĂ« kushte laboratorike.
NĂ« ndĂ«rtimin e WireGuard pĂ«r Linux, ai fiton avantazhin duke pĂ«rdorur GSO â Generic Segmentation Offloading. FalĂ« kĂ«saj, klienti krijon njĂ« paketĂ« tĂ« madhe me madhĂ«si 64 kilobajt dhe e enkripton/dekripton atĂ« me njĂ« qasje. KĂ«shtu, kostot pĂ«r thirrjen dhe ekzekutimin e operacioneve kriptografike zvogĂ«lohen. NĂ«se dĂ«shironi tĂ« maksimizoni kapacitetin e lidhjes suaj VPN â kjo Ă«shtĂ« njĂ« ide e mirĂ«.
Por, si e zakonshëm, në të vërtetë nuk është gjithçka aq e thjeshtë. Dërgimi i një pakete kaq të madhe në adaptern e rrjetit kërkon që ajo të ndahen në shumë paketa më të vogla. Madhësia e zakonshme e dërgesës është 1500 byte. Kështu që gjiganti ynë me 64 kilobajt do të ndahet në 45 paketa (1240 byte informacion dhe 20 byte header IP). Më pas, për një kohë, ato do të bllokojnë plotësisht funksionimin e adapternit të rrjetit, sepse ato duhet të dërgohen së bashku dhe menjëherë. Në fund, kjo do të shkaktojë një rritje të përparësisë, dhe paketa të tilla si VoIP do të vendosen në radhë.
Pra, kapaciteti i lartë i dërgimit, për të cilin WireGuard flet me aq guxim, arrihet duke ngadalësuar punën e rrjetit të aplikacioneve të tjera. Dhe ekipi i WireGuard tashmë ka konfirmuar këtë përfundim timin.
Por le të vazhdojmë.
Sipas benchmarkeve në dokumentacionin teknik, lidhja tregon një kapacitet dërgimi prej 1011 Mbit/s.
Impresionues.
Kjo është veçanërisht e impresionuese për shkak se kapaciteti maksimal teorik i një lidhjeje Ethernet një gigabit është 966 Mbit/s me një madhësi pakete prej 1500 byte, minus 20 byte për kokën IP, 8 byte për kokën UDP dhe 16 byte për kokën e vetë WireGuard. Ka një kokë IP tjetër në paketën e inkapsuluar dhe një tjetër në TCP prej 20 byte. Si ndodhi që u shfaq ky kapacitet shtesë?
Me kornizat e mëdha dhe përfitimet e GSO-së, të cilat e përmendëm më parë, maksimumi teorik me një madhësi kornize prej 9000 byte do të ishte 1014 Mbit/s. Zakonisht, ky kapacitet në realitet nuk arrihet, pasi lidhet me vështirësi të mëdha. Prandaj, mund të supozoj vetëm se testi është kryer duke përdorur korniza edhe më të mëdha, duke tejkaluar madhësinë prej 64 kilobitësh me maksimumin teorik prej 1023 Mbit/s, që mbështetet vetëm nga disa adaptues rrjeti. Por kjo është krejtësisht e papërshtatshme në kushte reale, ose mund të përdoret vetëm midis dy stacioneve të lidhura drejtpërdrejt, ekskluzivisht në kuadër të një sistemi testi.
Por megjithatë, duke qenë se tuneli VPN kalon midis dy hosteve përmes një lidhjeje interneti që në tërësi nuk mbështet frame të mëdha, rezultati i arritur në skenë nuk mund të merret si etalon. Kjo është thjesht një arritje laboratorike e pamundur dhe e paaplikueshme në kushte reale luftimi.
Edhe duke qëndruar në qendrën e të dhënave, nuk do të mundja të kalojë frame më të mëdha se 9000 byte.
Kushti i aplikueshmërisë në jetën reale është plotësisht i shkelur dhe, siç mendoj, autori i "matjes" së kryer ka diskredituar rëndë veten për arsye të qarta.
Një shpresë e fundit
Në webfaqen e WireGuard flitet shumë për kontejnerët dhe bëhet e qartë se për çfarë është në të vërtetë e destinuar.
NjĂ« VPN e thjeshtĂ« dhe e shpejtĂ«, qĂ« nuk kĂ«rkon konfigurim dhe mund tĂ« implementohet dhe konfigurohet me mjete masive orkestrimi, siç janĂ« ato tĂ« Amazon nĂ« cloud-in e tyre. NĂ« veçanti, Amazon pĂ«rdor funksionalitetet mĂ« tĂ« reja harduerike, tĂ« cilat i pĂ«rmenda mĂ« parĂ«, pĂ«r shembull â AVX512. Kjo bĂ«het pĂ«r tĂ« pĂ«rshpejtuar punĂ«n dhe pĂ«r tĂ« mos u lidhur me x86 ose ndonjĂ« arkitekturĂ« tjetĂ«r.
Ato optimizojnĂ« kapacitetin dhe paketat qĂ« e tejkalojnĂ« 9000 byt â kjo do tĂ« krijojĂ« kuadre tĂ« mĂ«dha tĂ« inkapsulluara pĂ«r komunikimin ndĂ«rmjet konteinerĂ«ve ose pĂ«r operacione si backup, krijimin e snapshots ose implementimin e kĂ«tyre konteinerĂ«ve. Edhe adresat IP dinamike nuk do tĂ« kenĂ« ndikim nĂ« funksionimin e WireGuard nĂ« rastin e skenarit qĂ« pĂ«rshkruaj.
Luaj mirë. Realizim shkëlqyer dhe një protokoll shumë të hollë, pothuajse referent.
Por thjesht nuk është i përshtatshëm për një botë jashtë qendrës së të dhënave që kontrolloni plotësisht. Nëse guxoni dhe filloni të përdorni WireGuard, do t'ju duhet të bëni kompromisë të vazhdueshme gjatë zhvillimit dhe zbatimit të protokollit të enkriptimit.
PĂ«rfundim
Nuk është e vështirë të arrij në përfundimin se WireGuard nuk është ende gati.
Ai është menduar si një zgjidhje e lehtë dhe e shpejtë për disa probleme të zgjidhjeve ekzistuese. Fatkeqësisht, për shkak të këtyre zgjidhjeve, ai ka sakrifikuar shumë funksionalitete që do të ishin të rëndësishme për shumicën e përdoruesve. Kjo është arsyeja pse ai nuk mund ta zëvendësojë IPsec ose OpenVPN.
PĂ«r tĂ« bĂ«rĂ« qĂ« WireGuard tĂ« jetĂ« konkurrues, duhet tĂ« shtojĂ« sĂ« paku konfigurimin e adresĂ«s IP dhe konfigurimin e rrugĂ«s dhe DNS. ĂshtĂ« e qartĂ« se pikĂ«risht pĂ«r kĂ«tĂ« nevojiten kanale tĂ« enkriptuara.
Siguria është prioriteti im kryesor, dhe tani nuk kam arsye për të dyshuar se IKE ose TLS janë ndonjëherë të komprometuar ose të thyera. Enkriptimi modern mbështetet në të dyja dhe janë verifikuar për dekada shitjesh. Nëse diçka është më e re nuk do të thotë domosdoshmërisht se është më e mirë.
Kompaktibiliteti funksional është jashtëzakonisht i rëndësishëm kur lidheni me palë të treta, stacionet e të cilave nuk i kontrolloni. IPsec është de facto standardi dhe mbështetet praktikisht kudo. Dhe funksionon. Dhe siç duket, në teori, WireGuard në të ardhmen mund të jetë jo-kompatibil madje edhe me versione të ndryshme të vetvetes.
Ădo mbrojtje kriptografike, herĂ«t ose vonĂ«, do tĂ« thyhet dhe, pĂ«r pasojĂ«, duhet tĂ« zĂ«vendĂ«sohet ose azhurnohet.
Kjo përgënjeshtrim i të gjitha këtyre fakteve dhe dëshira verbale për të përdorur WireGuard për të lidhur iPhone tuaj me stacionin tuaj të punës në shtëpi është thjesht një masterclass në futjen e kokës në rërë.
Burimi: habr.com
