OpenVPN edo WireGuard? Erabaki identitatearen eta garraioaren arabera
Giltzek, saioa hasteko fluxuek eta UDP bidezko garraio hutsak askoz lehenago erabakitzen dute hautua, errendimenduak baino. Egin lau egiaztapen eta mantendu neurketa zintzoa.
Bi protokolo hauek alderatzea baliagarria da benetan kudeatuko duzuna alderatzen duenean soilik. WireGuard-ek parekideak gako publikoaren bidez identifikatzen ditu eta bere protokoloa UDP bidez eramaten du, bitartean OpenVPN autentifikazio-modu sorta zabalagoa eskaintzen du eta UDP edo TCP bidez funtziona dezake zerbitzariak biak eskaintzen dituenean. Ezberdintasun horiek hornikuntza eta ordezko bidea askoz lehenago moldatzen dituzte, errendimendua moldatu baino. Egin beheko lau egiaztapenak hurrenez hurren; lehen biak hautua erabakitzen dute normalean, eta azken biak erabakia zuzena ote zen esaten dute.
Hasi identitatearekin, ez zifratze-zerrendarekin
WireGuard parekide batek gako pribatu bat gordetzen du eta har dezakeen gako publikoak zerrendatzen ditu. Hornitzaile batek kontu-atari bat bildu dezake horren inguruan, baina protokoloak berak ez du erabiltzaile-izena eta pasahitza trukatzen, beraz kontuaren bizi-zikloa gakoak banatzen dituen horretan bizi da. OpenVPN-k ziurtagiriak, lehendik dagoen direktorio baten kontrako plugina edo egiaztapen-script bat erabil ditzake, eta horregatik identitate-sistema duten erakundeek sarritan nahiago dute. Bi diseinuek ez dute kentzen galdutako gailu bat nola kentzen den galdera.
| Decision | OpenVPN | WireGuard |
|---|---|---|
| Identity | Certificates, plugins or scripts against an existing directory | One private key per peer, public keys listed for the peers it may reach |
| Transport | UDP or TCP profiles when the server offers both | UDP only in the native protocol |
| Routing and DNS | Server pushes routes and DNS options | AllowedIPs maps ranges to peers, and tooling installs the routes |
| Where it usually breaks | Profile mismatch, expired certificate, failing plugin | Blocked UDP, wrong AllowedIPs, key not installed |
Konfigurazio laburra ez da hornikuntza sinplea. Gako pribatu bat hainbat pertsonari emateak geroagoko kenketa anbiguoa egiten du, haren baliogabetzeak denak batera kentzen baititu. Idatzi pertsonaren eta gakoaren edo ziurtagiriaren arteko mapaketa hautatu aurretik, eta protokoloari buruzko erabakia askoz errazagoa izango da.
Ondoren begiratu zer onartzen duen garraioak
WireGuard-en protokoloak UDP erabiltzen du. OpenVPN zerbitzuek UDP eta TCP profilak eskain ditzakete, eta UDP blokeatzen edo okertzen duen sare batean bigarren aukera hori ordezko bide praktikoa da, ez teorikoa. Zerbitzariak hautatzen duzun profila onartu behar du, eta ataka-zenbakia aldatzeak ez du tunela HTTPS bihurtzen ezta suebaki bat hura baimentzera konbentzitzen.
TCP TCP barruan eramateak galeren aurreko jokabidea ere aldatzen du, bi geruzek modu independentean berriz saiatu eta berrordenatzen baitute. Sare murriztailean funtzionatzen duen TCP profil batek gaizki joka dezake galtzen duen sare batean, eta hori arrazoia da bi profilak eskuragarri mantentzeko, bat nagusiagoa dela adierazi beharrean.
Ondoren egiaztatu bideratzea eta izen-ebazpena
WireGuard-en AllowedIPs-ek helbide-tarteak parekideei esleitzen dizkie eta protokoloaren barruko bideratze-erabaki gisa jarduten du, eta inguruko tresnek tarte horiek erabiltzen dituzte bideak instalatzean. OpenVPN-k bideak eta DNS aukerak zerbitzaritik bultzatzen ditu. Bi kasuetan bezeroa altxa daiteke, aurreikusitako politika erdizka aplikatuta dagoen bitartean.
ip route show
ip -6 route show
resolvectl status
wg showIrakurri irteera konektatuta dagoen adierazleari fidatu aurretik. ip route show erakusten du bezeroak IPv4-rako instalatu duena, eta IPv6 aldaerak familia bakarra daraman tunela harrapatzen du. resolvectl status erakusten du zein ebazlekirekin egingo duen kontsulta bezeroak benetan, eta wg show inprimatzen ditu WireGuard-ek bereizat hartzen dituen AllowedIPs-ak. Ebazlea sare lokalera seinalatzen badago eta bideek estaldura osoa aldarrikatzen badute, DNS tunelaren kanpora ateratzen da.
Ondoren neurtu axola zaizun zeregina
Mantendu gailua, sarea eta helmuga geldi, eta idatzi erabili dituzun bezeroak eta mutur-puntuak. Bi zerbitzuak hiri ezberdinetan irteten badira edo hardware ezberdinean funtzionatzen badute, esan ezazu, orduan emaitzak zerbitzu horiek deskribatzen baititu, ez protokoloak.
iperf3 -c 203.0.113.20 -t 30
mtr -rwzbc 50 203.0.113.20Exekutatu bi komandoak bitan, profil-bikote bakoitzeko behin, sare eta gailu berean. iperf3-ek errendimendu-zifra bat ematen du, eta mtr-ek bidea eta galerak non agertzen diren, deskarga-zifra bakar batek erakutsi ezin duena. Deskarga-zifra batek dei batek nabaritzen duena ere saihesten du: latentzia gehigarria, jitterra eta birkonexioak zenbat irauten duen. Idatzi horiek bereiz, errendimenduan irabazten duen protokoloak benetan exekutatzen duzun zereginean gal dezakeelako.
Kudeatutako konexio baterako, bateragarritasunak, laguntzak eta berritze-lanak benchmark ezberdintasun txiki bat gaindi dezakete. Irteera pertsonal baterako, operadorearen erregistroak eta jurisdikzioak protokoloaren etiketak baino gehiago axola dute. Bi protokoloek konexio ona eraman dezakete; zerbitzuak eta haren konfigurazioak erabakitzen dute zer lortzen duzun.
Idatzi profil-bikotea probatu aurretik
Aukeratu protokolo bakoitzeko profil bat neurtu aurretik, eta idatzi bakoitzak zer egin behar duen: azpisare pribatuak soilik, edo trafiko osoa irteera zehatz batekin. Tunel zatituaren profila tunel osoko profilarekin alderatzen duen proba batek profilak neurtzen ditu, ez protokoloak. Jarri bezeroaren izena, bezeroaren bertsioa eta irteeraren kokapena ohar berean.
Ondoren exekutatu zeregin bera bietan, sare berean, saio berean. Batek batere konektatzen ez badu, huts egite hori da emaitza eta arrazoiarekin batera erregistroan sartu behar da. Gorde erregistroa zerbitzuaren dokumentazioarekin, hurrengo pertsonak bikote bera alderatu dezan, hasieratik hasi ordez.