A yw WireGuard yn barod ar gyfer cynhyrchu? Nid y protocol yw'r ateb

Mae pobl yn gofyn a yw WireGuard yn barod ar gyfer cynhyrchu, sy'n swnio fel cwestiwn am grifftograffeg ac mewn gwirionedd yn gwestiwn am eich amgylchedd. Mae'r protocol wedi cael ei adolygu ers blynyddoedd; rhaid i'r defnyddiad ateb o hyd a yw eich rhwydweithiau'n cario ei gludiant, pwy sy'n cofrestru dyfeisiau ac yn eu hymddeol, a phwy sy'n clytio'r pecyn ar y ddau ben. Mae'r atebion hynny'n wahanol rhwng dau weinydd mewn un rac a mil o liniaduron. Mae'r protocol yr un fath yn y ddau achos; nid yw'r gweithrediadau.

Y cwestiwn y tu ôl i'r cwestiwn

Yr hyn y mae pobl fel arfer eisiau ei wybod yw a allant ymrwymo i gynllun na fydd yn eu cywilyddio mewn chwe mis. Mae hwnnw'n gwestiwn defnyddiad â phedair rhan, a gall pob rhan fethu'n annibynnol ar y lleill. Nid yw ateb tri ohonynt yn dda yn gwneud iawn am y pedwerydd.

Mae rhybudd hen am snapshot cyn-ryddhad yn ffaith am y snapshot hwnnw, nid yn label parhaol ar bob pecyn diweddarach. Yr un modd, ni all unrhyw bost blog ddatgan bod eich cyfuniad penodol o gnewyllyn, cleient, rhwydwaith a staff yn barod. Y gwaith yw gwneud y cyfuniad yn eglur a'i wirio.

Triniwch barodrwydd fel set o glwydi rydych naill ai'n eu pasio neu'n eu cofnodi fel rhai agored. Mae hynny'n troi dadl yn rhestr wirio gyda pherchnogion. Mae hefyd yn gwneud yr eitemau agored yn weladwy i bwy bynnag sy'n llofnodi, yn hytrach na'u claddu mewn adroddiad peilot.

Clwyd un: rhaid i'r llwybr gario UDP

Mae WireGuard yn cario ei draffig dros UDP ac yn dogfennu nad yw'n darparu modd TCP na chuddio traffig. Mae cynllun sy'n dibynnu ar iddo edrych fel traffig gwe cyffredin, neu ar newid y porth i gael ymddygiad TCP, yn seiliedig ar dybiaeth nad yw'r meddalwedd yn ei chefnogi.

Felly mae'r glwyd gyntaf yn arolwg, nid yn brawf ar un peiriant. Rhowch restr o'r amgylcheddau mynediad y mae eich defnyddwyr yn gweithio ynddynt mewn gwirionedd, yna gwiriwch y llwybr UDP cymeradwy ym mhob un a phenderfynu beth sy'n digwydd pan nad yw ar gael.

Nid yw cysylltiad sy'n gweithio o'r swyddfa yn profi dim am rwydwaith gwesty, wal dân campws na chludwr symudol sy'n trin UDP yn wahanol. Yr amgylcheddau hynny yw'r rheswm y mae defnyddiadau mynediad o bell yn methu ar ôl peilot llwyddiannus. Nid oedd y peilot yn anghywir; yr oedd yn gul. Ei ehangu yw'r glwyd.

Cofnodwch y cynllun wrth gefn hefyd. Os yr ateb yw nad oes cynllun wrth gefn, mae hynny'n benderfyniad sy'n werth ei ddatgan ymlaen llaw yn hytrach na'i ddarganfod yn ystod taith fusnes.

Clwyd dau: rhaid i rywun feddu ar yr allweddi

Mae cymheiriaid WireGuard yn dilysu ag allweddi, un pâr i bob cyfranogwr. Mae hynny'n hawdd ei ddisgrifio ac yn feichus yn weithredol, oherwydd nid oes dim yn y protocol yn cofrestru dyfais, yn olrhain pwy sy'n dal pa allwedd nac yn tynnu mynediad pan gollir gliniadur. Mae'r protocol yn tybio bod yr allweddi eisoes yn gywir, a gwaith rhywun yw cywirdeb.

Enwch y person sy'n cofrestru dyfais, y cofnod sy'n cysylltu allwedd gyhoeddus â pherson a dyfais, a'r weithdrefn ar gyfer tynnu. Os yw tynnu'n dibynnu ar gofio ble gosodwyd copïau o ffeil ffurfweddu, nid yw'r weithdrefn wedi'i gorffen.

Dewiswch un ddyfais yn ystod y peilot a'i hymddeol o'r dechrau i'r diwedd. Mae'r ymarferiad hwnnw'n cynhyrchu gwybodaeth mwy defnyddiol nag un prawf cysylltedd arall, oherwydd mae'n datgelu'r bylchau yn eich cofnodion.

Clwyd tri: mae angen cynhaliwr ar y pecyn

Gall WireGuard gyrraedd fel gweithrediad yng nghnewyllyn y system, fel pecyn dosbarthu neu fel cleient yn ofod y defnyddiwr, ac mae gan bob un ei lwybr diweddaru ei hun. Y cwestiwn gweithredol yw pa un rydych yn ei redeg, o ble y daeth a phwy sy'n cymhwyso hysbysiad diogelwch.

Nid yw rydym yn defnyddio WireGuard yn rhestr eiddo. Nid yw'n nodi'r pecyn i'w glytio, y fersiwn ar y porth na'r person sy'n gallu rholio diweddariad drwg yn ôl.

Clwyd pedwar: derbyniwch y llwyth gwaith, nid yr ysgwyd llaw

Dylai meini prawf derbyn ddisgrifio'r hyn y mae defnyddwyr yn ei wneud. Cyrraedd cymhwysiad mewnol, datrys ei enw preifat, cael eich gwrthod wrth gyrchfan anawdurdodedig a dilyn yr ymddygiad diffiniedig pan fydd y twnnel i lawr — mae'r rhain i gyd yn arsylwadwy, ac nid yw ysgwyd llaw llwyddiannus yn un ohonynt.

Rhedwch y gwiriadau hynny drwy newid rhwydwaith, ailgychwyn dyfais a ffenestr gynnal y porth, oherwydd yn y trosiannau hynny y mae defnyddiadau'n torri.

Cadwch y dystiolaeth wrth ymyl y meini prawf, gan gynnwys y cyflwr lleol a'i cynhyrchodd:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Mae prawf gwyrdd ar rwydwaith tawel ag un gliniadur yn arsylwad cychwynnol. Nid yw'n honiad o ddibynadwyedd, a'i drin felly yw'r ffordd y mae cynllun sy'n gweithio yn dod yn gynllun y rhoddir ymddiriedaeth ynddo.