آیا WireGuard برای تولید آماده است؟ پاسخ در پروتکل نیست

مردم می‌پرسند آیا WireGuard برای تولید آماده است، که شبیه پرسشی درباره رمزنگاری است و در واقع پرسشی درباره محیط شماست. سال‌هاست پروتکل بازبینی می‌شود، اما استقرار هنوز باید پاسخ دهد که آیا شبکه‌های شما حامل آن را حمل می‌کنند، چه کسی دستگاه‌ها را ثبت و بازنشسته می‌کند و چه کسی بسته را در دو سر وصله می‌زند. این پاسخ‌ها میان دو سرور در یک رک و هزار لپ‌تاپ متفاوت است. پروتکل در هر دو حالت یکی است؛ عملیات یکی نیست.

پرسش پشت پرسش

آنچه مردم معمولاً می‌خواهند بدانند این است که آیا می‌توانند به طرحی متعهد شوند که شش ماه بعد مایه شرمساری‌شان نشود. این پرسشی درباره استقرار با چهار بخش است و هر بخش می‌تواند مستقل از بقیه شکست بخورد. پاسخ خوب به سه بخش، بخش چهارم را جبران نمی‌کند.

هشدار قدیمی درباره یک نسخه پیش از انتشار، واقعیتی درباره همان نسخه است، نه برچسبی دائمی روی هر بسته بعدی. به همین ترتیب، هیچ نوشته‌ای در وبلاگ می‌تواند ترکیب مشخص شما از هسته، کارخواه، شبکه و کارکنان را آماده اعلام کند. کار این است که ترکیب را صریح کنید و آن را بررسی کنید.

آمادگی را مجموعه‌ای از دروازه‌ها بدانید که یا از آن‌ها می‌گذرید یا آن‌ها را باز ثبت می‌کنید. این کار بحث را به فهرست بازبینی با مسئول تبدیل می‌کند. همچنین موارد باز را برای هر کسی که تأیید می‌کند دیدنی می‌سازد، نه اینکه در گزارشی از آزمایش مدفون شوند.

دروازه یک: مسیر باید UDP را حمل کند

WireGuard ترافیک خود را روی UDP حمل می‌کند و مستند می‌سازد که نه حالت TCP ارائه می‌دهد و نه پنهان‌سازی ترافیک. طرحی که به شبیه بودن آن به ترافیک معمولی وب یا به تغییر درگاه برای گرفتن رفتار TCP تکیه می‌کند، بر فرضی بنا شده که نرم‌افزار از آن پشتیبانی نمی‌کند.

پس دروازه نخست یک بررسی میدانی است، نه آزمایش روی یک ماشین. محیط‌های دسترسی‌ای را که کاربران شما واقعاً در آن کار می‌کنند فهرست کنید، سپس مسیر تأییدشده UDP را در هر یک می‌آزمایید و تصمیم بگیرید وقتی در دسترس نیست چه می‌شود.

اتصالی که از دفتر کار می‌کند هیچ چیزی درباره شبکه هتل، دیوار آتش دانشگاه یا اپراتور موبایلی که UDP را جور دیگری می‌گرداند ثابت نمی‌کند. همین محیط‌ها دلیل شکست استقرارهای دسترسی از راه دور پس از یک آزمایش موفق هستند. آزمایش اشتباه نبود، تنگ بود. گستردن آن همان دروازه است.

مسیر جایگزین را هم بنویسید. اگر پاسخ این است که مسیر جایگزینی نیست، این تصمیمی است که ارزش دارد از پیش اعلام شود، نه اینکه در سفر کاری کشف شود.

دروازه دو: کسی باید مالک کلیدها باشد

همتایان WireGuard با کلیدها احراز هویت می‌کنند، یک جفت برای هر مشارکت‌کننده. توصیفش ساده است و در عمل سخت، چون هیچ چیز در پروتکل دستگاهی را ثبت می‌کند، پیگیری می‌کند که چه کسی کدام کلید را دارد یا وقتی لپ‌تاپی گم می‌شود دسترسی را برنمی‌دارد. پروتکل فرض می‌کند کلیدها از پیش درست‌اند، و درستی کار کسی است.

کسی را که دستگاه را ثبت می‌کند نام ببرید، سندی که کلید عمومی را به یک شخص و یک دستگاه پیوند می‌دهد، و رویه حذف. اگر حذف به یادآوردن این وابسته باشد که نسخه‌هایی از یک پرونده پیکربندی کجا نصب شده‌اند، رویه تمام نشده است.

در طول آزمایش یک دستگاه را انتخاب کنید و آن را از آغاز تا پایان بازنشسته کنید. این تمرین اطلاعات سودمندتری از یک آزمون اتصال دیگر می‌دهد، چون شکاف‌های سوابق شما را آشکار می‌کند.

دروازه سه: بسته نگهدارنده می‌خواهد

WireGuard می‌تواند به شکل پیاده‌سازی درون هسته، بسته توزیع یا کارخواه در فضای کاربر بیاید، و هر یک مسیر به‌روزرسانی خود را دارد. پرسش عملیاتی این است که کدام را اجرا می‌کنید، از کجا آمده و چه کسی یک بولتن امنیتی را اعمال می‌کند.

اینکه می‌گوییم از WireGuard استفاده می‌کنیم، فهرست موجودی نیست. بسته‌ای را که باید وصله شود، نسخه روی دروازه یا کسی را که می‌تواند به‌روزرسانی بد را برگرداند مشخص نمی‌کند.

دروازه چهار: بار کاری را بپذیرید، نه دست دادن اولیه را

معیارهای پذیرش باید توصیف می‌کنند که کاربران چه می‌کنند. رسیدن به یک برنامه داخلی، حل نام خصوصی آن، رد شدن در مقصدی غیرمجاز و پیروی از رفتار تعریف‌شده هنگامی که تونل از کار افتاده، همه قابل مشاهده‌اند و یک دست دادن موفق هیچ‌یک از این‌ها نیست.

این بررسی‌ها را در گذر از یک تغییر شبکه، یک راه‌اندازی دوباره دستگاه و یک پنجره نگهداری دروازه اجرا کنید، چون استقرارها در همین گذارها می‌شکنند.

شواهد را کنار معیارها نگه دارید، از جمله وضعیت محلی‌ای که آن‌ها را پدید آورده:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

یک آزمون سبز روی شبکه‌ای آرام با یک لپ‌تاپ، مشاهده‌ای آغازین است. ادعایی درباره پایایی نیست، و برخورد با آن به‌عنوان چنین ادعایی همان راهی است که طرحی کارآمد به طرحی مورد اعتماد تبدیل می‌شود.