Kas WireGuard on tootmisküps? Vastus ei ole protokollis

Inimesed küsivad, kas WireGuard on tootmiseks valmis, mis kõlab krüptograafia küsimusena ja on tegelikult küsimus sinu keskkonna kohta. Protokolli on aastaid üle vaadatud; juurutus peab ikkagi vastama, kas sinu võrgud kannavad selle transporti, kes seadmeid registreerib ja kasutusest eemaldab ning kes paketti mõlemas otsas lappab. Need vastused erinevad kahe serveri vahel ühes riiulis ja tuhande sülearvuti puhul. Protokoll on mõlemal juhul sama; toimingud ei ole.

Küsimus küsimuse taga

Mida inimesed tavaliselt teada tahavad, on see, kas nad saavad kohustuda disainiga, mis ei pane neid poole aasta pärast piinlikku olukorda. See on juurutusküsimus nelja osaga ja iga osa võib teistest sõltumatult ebaõnnestuda. Hea vastus kolmele neist ei korva neljandat.

Vana hoiatus eelväljaande hetktõmmise kohta on fakt selle hetktõmmise kohta, mitte püsiv silt igal hilisemal paketil. Samamoodi ei saa ükski blogipostitus kuulutada sinu konkreetset tuuma, kliendi, võrgu ja personali kombinatsiooni valmis olevaks. Töö on teha kombinatsioon selgesõnaliseks ja seda kontrollida.

Käsitle valmidust väravate kogumina, millest sa kas läbid või märgid lahtiseks. See muudab vaidluse omanikega kontrollnimekirjaks. See teeb ka lahtised punktid nähtavaks kõigile, kes kinnitab, selle asemel et need matta piloodiraportisse.

Esimene värav: tee peab kandma UDP-d

WireGuard kannab oma liiklust UDP kaudu ja dokumenteerib, et see ei paku TCP-režiimi ega liikluse varjamist. Disain, mis sõltub sellest, et liiklus näeks välja nagu tavaline veebiliiklus, või pordi muutmisest TCP-käitumise saamiseks, toetub eeldusele, mida tarkvara ei toeta.

Nii et esimene värav on uuring, mitte test ühel masinal. Loetle juurdepääsukeskkonnad, kus sinu kasutajad tegelikult töötavad, seejärel kontrolli kinnitatud UDP-teed igas neist ja otsusta, mis juhtub, kui see pole saadaval.

Kontorist töötav ühendus ei tõesta midagi hotellivõrgu, ülikoolilinnaku tulemüüri ega mobiiloperaatori kohta, mis käsitleb UDP-d teisiti. Just need keskkonnad on põhjus, miks kaugjuurdepääsu juurutused pärast edukat pilooti ebaõnnestuvad. Piloot ei olnud vale; see oli kitsas. Selle laiendamine on värav.

Pane kirja ka tagavaravariant. Kui vastus on, et tagavaravarianti pole, on see otsus, mida tasub ette teatada, selle asemel et see töölähetuse ajal avastada.

Teine värav: kellelgi peab olema võtmete omand

WireGuardi peerid autendivad end võtmetega, üks paar osaleja kohta. Seda on lihtne kirjeldada ja käitamises nõudlik, sest miski protokollis ei registreeri seadet, ei jälgi, kellel milline võti on, ega eemalda juurdepääsu, kui sülearvuti kaob. Protokoll eeldab, et võtmed on juba õiged, ja õigsus on kellegi töö.

Nimeta inimene, kes seadme registreerib, kirje, mis seob avaliku võtme inimese ja seadmega, ning eemaldamise protseduur. Kui eemaldamine sõltub sellest, kas mäletad, kuhu konfiguratsioonifaili koopiad paigaldati, pole protseduur lõpetatud.

Vali piloodi ajal üks seade ja võta see algusest lõpuni kasutusest välja. See harjutus annab kasulikumat teavet kui veel üks ühenduvuse test, sest paljastab lüngad sinu kirjetes.

Kolmas värav: pakett vajab hooldajat

WireGuard võib tulla tuuma sisese teostusena, distributsioonipaketina või kasutajaruumi kliendina ja igal on oma uuendustee. Käitamise küsimus on, millist neist jooksutad, kust see tuli ja kes rakendab turvateate.

Me kasutame WireGuardit ei ole inventuur. See ei tuvasta lappamist vajavat paketti, lüüsi versiooni ega inimest, kes suudab halva uuenduse tagasi pöörata.

Neljas värav: võta vastu töökoormus, mitte kätlemine

Vastuvõtukriteeriumid peaksid kirjeldama, mida kasutajad teevad. Sisemise rakenduseni jõudmine, selle privaatnime lahendamine, volitamata sihtkohas tagasilükkamine ja määratletud käitumise järgimine tunneli maasoleku ajal on kõik vaadeldavad, ja edukas kätlemine pole neist ükski.

Lase need kontrollid läbi võrguvahetuse, seadme taaskäivituse ja lüüsi hooldusakna, sest just nendes üleminekutes juurutused katkevad.

Hoia tõendid kriteeriumide kõrval, sealhulgas kohalik olek, mis need tekitas:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Roheline test vaikses võrgus ühe sülearvutiga on algne tähelepanek. See ei ole väide töökindluse kohta ja selle sellena käsitlemine on viis, kuidas töötavast disainist saab disain, mida usaldatakse.