Ĉu WireGuard pretas por produktado? La respondo ne estas la protokolo

Homoj demandas ĉu WireGuard pretas por produktado, kio sonas kiel demando pri kriptografio kaj fakte estas demando pri via medio. La protokolo estas reviziata jam de jaroj; la deplojo ankoraŭ devas respondi ĉu viaj retoj portas ĝian transporton, kiu enskribas kaj malmuntas aparatojn, kaj kiu flikas la pakon ĉe ambaŭ finoj. Tiuj respondoj malsamas inter du serviloj en unu rako kaj mil tekokomputiloj. La protokolo estas la sama en ambaŭ kazoj; la operacioj ne.

La demando malantaŭ la demando

Kion homoj kutime volas scii estas ĉu ili povas sin devontigi al dezajno, kiu ne hontigos ilin post ses monatoj. Tio estas deploja demando kun kvar partoj, kaj ĉiu parto povas malsukcesi sendepende de la aliaj. Bonaj respondoj pri tri el ili ne kompensas la kvaran.

Malnova averto pri antaŭeldona kodpreno estas fakto pri tiu kodpreno, ne daŭra etikedo sur ĉiu posta pako. Same, neniu blogaĵo povas deklari pretan vian specifan kombinaĵon de kerno, kliento, reto kaj personaro. La laboro estas igi la kombinaĵon eksplicita kaj kontroli ĝin.

Traktu pretecon kiel aron da pordegoj, kiujn vi aŭ trapasas aŭ registras kiel malfermitajn. Tio transformas diskuton en kontrol-liston kun respondeculoj. Ĝi ankaŭ igas la malfermitajn erojn videblaj por ĉiu, kiu aprobas, anstataŭ enterigitaj en pilota raporto.

Pordego unu: la vojo devas porti UDP

WireGuard portas sian trafikon per UDP kaj dokumentas, ke ĝi ne ofertas TCP-reĝimon nek trafikan kaŝadon. Dezajno, kiu dependas de tio, ke ĝi aspektu kiel ordinara reta trafiko, aŭ de ŝanĝo de la pordo por akiri TCP-konduton, baziĝas sur supozo, kiun la programaro ne subtenas.

Do la unua pordego estas enketo, ne testo sur unu maŝino. Listigu la alirmediojn, en kiuj viaj uzantoj vere laboras, poste kontrolu la aprobitan UDP-vojon en ĉiu el ili kaj decidu kio okazas, kiam ĝi ne disponeblas.

Konekto, kiu funkcias el la oficejo, pruvas nenion pri hotelreto, kampusa fajroŝirmilo aŭ poŝtelefona operatoro, kiu traktas UDP alie. Tiuj medioj estas la kaŭzo, ke deplojoj de fora aliro malsukcesas post sukcesa pilotado. La pilotado ne estis malĝusta; ĝi estis mallarĝa. Larĝigi ĝin estas la pordego.

Notu ankaŭ la rezervan vojon. Se la respondo estas, ke ne ekzistas rezerva vojo, tio estas decido inda je antaŭa deklaro anstataŭ malkovro dum komerca vojaĝo.

Pordego du: iu devas posedi la ŝlosilojn

La samranguloj de WireGuard aŭtentikigas per ŝlosiloj, unu paro por partoprenanto. Tio estas facile priskribi kaj postulema operacie, ĉar nenio en la protokolo enskribas aparaton, spuras kiu tenas kiun ŝlosilon aŭ forigas aliron, kiam tekokomputilo perdiĝas. La protokolo supozas, ke la ŝlosiloj jam estas ĝustaj, kaj ĝusteco estas ies laboro.

Nomu la personon, kiu enskribas aparaton, la registron, kiu ligas publikan ŝlosilon al persono kaj aparato, kaj la proceduron por forigo. Se forigo dependas de memoro pri tio, kie oni instalis kopiojn de agorda dosiero, la proceduro ne estas finita.

Elektu unu aparaton dum la pilotado kaj malmuntu ĝin de komenco ĝis fino. Tiu ekzerco produktas pli utilan informon ol plia konekteca testo, ĉar ĝi malkaŝas la mankojn en viaj registroj.

Pordego tri: la pako bezonas prizorganton

WireGuard povas veni kiel efektivigo en la kerno, kiel distribua pako aŭ kiel kliento en uzantspaco, kaj ĉiu havas sian propran ĝisdatigan vojon. La operacia demando estas, kiun vi rulas, de kie ĝi venis kaj kiu aplikas sekurecan avizon.

Ni uzas WireGuard ne estas inventaro. Ĝi ne indikas la pakon flikendan, la version sur la enirejo nek la personon, kiu povas malfari malbonan ĝisdatigon.

Pordego kvar: akceptu la laborŝarĝon, ne la manpremon

Akceptaj kriterioj devus priskribi, kion uzantoj faras. Atingi internan aplikaĵon, solvi ĝian privatan nomon, esti rifuzata ĉe nepermesita celo kaj sekvi la difinitan konduton, kiam la tunelo estas malaktiva — ĉio ĉi estas observebla, kaj sukcesa manpremo estas nenio el tio.

Rulu tiujn kontrolojn tra reta ŝanĝo, aparata restartigo kaj prizorga fenestro de la enirejo, ĉar ĝuste en tiuj transiroj deplojoj rompiĝas.

Konservu la pruvojn apud la kriterioj, inkluzive de la loka stato, kiu produktis ilin:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Verda testo en trankvila reto kun unu tekokomputilo estas komenca observo. Ĝi ne estas aserto pri fidindeco, kaj trakti ĝin kiel tian estas la maniero, kiel funkcianta dezajno fariĝas dezajno, kiun oni fidas.