🥇WireGuard «kommer» till Linux-kärnan – varför?

I slutet av juli föreslog utvecklarna av VPN-tunneln WireGuard ett antal patchar, vilket kommer att göra deras programvara för att organisera VPN-tunnlar till en del av Linux-kärnan. Den exakta datumet för implementering av «planen» är fortfarande okänt. I nedre delen kommer vi att prata mer ingående om detta verktyg.

/ фото Tambako The Jaguar CC

Kort om projektet

WireGuard är en VPN-tunnel av nästa generation, skapad av Jason Donenfeld, grundaren av Edge Security. Projektet har utvecklats som en förenklad och snabb alternativ till OpenVPN och IPsec. Den första versionen av produkten innehöll bara 4 000 rader kod. I jämförelse innehåller OpenVPN cirka 120 000 rader, medan IPSec har 420 000.

uttalandet ord Utvecklare, WireGuard är enkelt att konfigurera, och säkerheten för protokollet uppnås genom beprövade kryptografiska algoritmer.. Vid nätverksbyte: Wi-Fi, LTE eller Ethernet måste man alltid återansluta till VPN-servern. WireGuard-servrar bryter inte anslutningen, även om användaren får en ny IP-adress.

Trots att WireGuard ursprungligen är anpassad för Linux-kärnan, har utvecklarna tänkt på och en portabel version av verktyget för Android-enheter. Appen är fortfarande under utveckling, men den kan redan testas. För att göra detta måste man bli en av testarna..

Överlag har WireGuard stor popularitet och har även adopterats av genomförd flera VPN-leverantörer, såsom Mullvad och AzireVPN. Det finns ett stort antal manualer för att konfigurera denna lösning. Till exempel, finns guider, som skapas av användare, och det finns guider, förberedda av projektets författare..

Tekniska detaljer

I den officiella dokumentationen (s.18) noteras att datagenomströmningen hos WireGuard är fyra gånger högre än hos OpenVPN: 1011 Mbit/s mot 258 Mbit/s respektive. WireGuard överträffar även den standardlösning för Linux IPsec – den når 881 Mbit/s. Den överträffar också denna när det kommer till enkelhet i konfiguration.

Efter nyckelutbyte (VPN-anslutningen initieras nästan som i SSH) och upprättande av anslutningen löser WireGuard själv alla andra uppgifter: det finns ingen anledning att bekymra sig om routing, statuskontroll och liknande. Ytterligare insatser krävs endast om man vill använda symmetrisk kryptering.

/ фото Anders Hojbjerg CC

För installation behövs en distribution med Linux-kärna "äldre än" 4.1. Den kan hittas i repositorierna för de viktigaste Linux-distributionerna.

$ sudo add-apt-repository ppa:hda-me/wireguard
$ sudo apt update
$ sudo apt install wireguard-dkms wireguard-tools

Som redaktörerna på xakep.ru påpekar är det också enkelt att bygga från källkoden. Det räcker med att skapa gränssnittet och generera öppna och privata nycklar:

$ sudo ip link add dev wg0 type wireguard
$ wg genkey | tee privatekey | wg pubkey > publickey

WireGuard inte gränssnitt för arbete med kryptoleverantören CryptoAPI. Istället används en strömmande kryptering ChaCha20, kryptografisk autentisering Poly1305 och egna kryptografiska hash-funktioner.

Den hemliga nyckeln genereras med hjälp av Diffie-Hellman-protokollet baserat på elliptiska kurvor Curve25519. Vid hashning används hash-funktioner BLAKE2 och SipHash. Tack vare tidsstämpelformat TAI64N protokollet avvisar paket med lägre timestamp-värde, vilket förhindrar DoS- och replay-attacker.

Därmed använder WireGuard ioctl-funktion för att kontrollera in- och utdata (tidigare användes Netlink), vilket gör koden renare och enklare. Detta kan bekräftas genom att titta på konfigurationskoden.

Utvecklarnas planer

Just nu är WireGuard ett out-of-tree modul för kärnan. Men projektets skapare Jason Donenfeld säger, att det är dags för en fullständig implementation i Linux-kärnan. Eftersom den är enklare och pålitligare än andra lösningar. Jason i detta avseende att även Linus Torvalds själv — han kallade WireGuard-koden "ett mästerverk".

Men ingen talar för tillfället om exakta datum för implementering av WireGuard i kärnan. Och det är osannolikt att det kommer att hända med lanseringen av augusti Linux kernel 4.18. Men det finns en möjlighet att det inträffar inom en snar framtid: i version 4.19 eller 5.0.

När WireGuard har lagts till i kärnan, planerar utvecklarna att färdigställa applikationen för Android-enheter och börja skriva applikationen för iOS. Dessutom planeras det att avsluta implementationerna på Go och Rust och portera dem till macOS, Windows och BSD. WireGuard för mer "exotiska system" planeras också: DPDK, FPGA, samt många andra intressanta saker. Alla listas i att-göra-listan för projektets skapare.

P.S. Fler artiklar från vår företagsblogg:

Huvudområdet för vår verksamhet är att tillhandahålla molntjänster: