Onko WireGuard valmis tuotantoon? Vastaus ei ole protokollassa

Ihmiset kysyvät, onko WireGuard valmis tuotantoon, mikä kuulostaa salauskysymykseltä ja on oikeastaan kysymys ympäristöstäsi. Protokollaa on arvioitu vuosia; käyttöönoton on silti vastattava, kuljettavatko verkkosi sen liikennettä, kuka rekisteröi ja poistaa laitteita ja kuka paikkaa paketin molemmissa päissä. Vastaukset eroavat kahden palvelimen ja tuhannen kannettavan välillä. Protokolla on molemmissa tapauksissa sama; toiminnot eivät.

Kysymys kysymyksen takana

Yleensä halutaan tietää, voiko sitoutua suunnitteluun, joka ei nolaa puolen vuoden päästä. Se on käyttöönottokysymys, jossa on neljä osaa, ja jokainen osa voi pettää muista riippumatta. Hyvät vastaukset kolmeen niistä eivät korvaa neljättä.

Vanha varoitus esijulkaisuversiosta on tosiasia siitä versiosta, ei pysyvä leima jokaisessa myöhemmässä paketissa. Yhtä vähän mikään blogikirjoitus voi julistaa juuri sinun ydin-, asiakas-, verkko- ja henkilöstöyhdistelmäsi valmiiksi. Työ on tehdä yhdistelmä näkyväksi ja tarkistaa se.

Käsittele valmiutta portteina, jotka joko läpäiset tai kirjaat avoimiksi. Se muuttaa väittelyn omistajalliseksi tarkistuslistaksi. Se myös tekee avoimista kohdista näkyviä sille, joka hyväksyy, sen sijaan että ne hautautuisivat pilottiraporttiin.

Portti yksi: reitin on kuljetettava UDP:tä

WireGuard kuljettaa liikenteensä UDP:n yli ja dokumentoi, ettei se tarjoa TCP-tilaa eikä liikenteen hämärrytystä. Suunnittelu, joka nojaa siihen, että se näyttää tavalliselta verkkoliikenteeltä, tai portin vaihtamiseen TCP-käyttäytymisen saamiseksi, perustuu oletukseen, jota ohjelmisto ei tue.

Ensimmäinen portti on siis kartoitus, ei testi yhdellä koneella. Listaa käyttöympäristöt, joissa käyttäjäsi todella työskentelevät, tarkista sitten hyväksytty UDP-reitti kussakin ja päätä, mitä tapahtuu, kun se ei ole käytettävissä.

Toimistosta toimiva yhteys ei todista mitään hotelliverkosta, kampuspalomuurista tai matkapuhelinoperaattorista, joka käsittelee UDP:n toisin. Juuri nämä ympäristöt ovat syy siihen, että etäkäytön käyttöönotot epäonnistuvat onnistuneen pilotin jälkeen. Pilotti ei ollut väärä, se oli kapea. Sen laajentaminen on portti.

Kirjaa myös varareitti. Jos vastaus on, ettei varareittiä ole, se on päätös, joka kannattaa ilmoittaa etukäteen sen sijaan että sen löytäisi työmatkalla.

Portti kaksi: jonkun on omistettava avaimet

WireGuardin vertaiset todentuvat avaimilla, yksi pari osallistujaa kohti. Se on helppo kuvata ja vaativa ylläpitää, koska mikään protokollassa ei rekisteröi laitetta, seuraa kuka pitää mitäkin avainta tai poista käyttöoikeutta, kun kannettava katoaa. Protokolla olettaa avainten olevan jo oikein, ja oikeellisuus on jonkun työtä.

Nimeä henkilö, joka rekisteröi laitteen, tietue, joka yhdistää julkisen avaimen henkilöön ja laitteeseen, ja poistamisen menettely. Jos poistaminen riippuu siitä, että muistaa mihin määritystiedoston kopiot asennettiin, menettely ei ole valmis.

Valitse pilotin aikana yksi laite ja poista se käytöstä alusta loppuun. Se harjoitus tuottaa hyödyllisempää tietoa kuin vielä yksi yhteystesti, koska se paljastaa aukot tietueissasi.

Portti kolme: paketti tarvitsee ylläpitäjän

WireGuard voi tulla ytimen sisäisenä toteutuksena, jakelupakettina tai käyttäjäavaruuden asiakkaana, ja jokaisella on oma päivityspolkunsa. Toiminnallinen kysymys on, mitä niistä ajat, mistä se tuli ja kuka soveltaa turvatiedotteen.

Käytämme WireGuardia ei ole inventaario. Se ei yksilöi paikattavaa pakettia, yhdyskäytävän versiota eikä henkilöä, joka voi perua huonon päivityksen.

Portti neljä: hyväksy työkuorma, älä kättely

Hyväksymiskriteerien pitäisi kuvata, mitä käyttäjät tekevät. Sisäiseen sovellukseen pääseminen, sen yksityisen nimen ratkaiseminen, hylkääminen luvattomassa kohteessa ja määritellyn käyttäytymisen noudattaminen tunnelin ollessa alhaalla ovat kaikki havaittavia, eikä onnistunut kättely ole mitään niistä.

Aja nämä tarkistukset verkon vaihdon, laitteen uudelleenkäynnistyksen ja yhdyskäytävän huoltokatkon läpi, koska juuri noissa siirtymissä käyttöönotot hajoavat.

Pidä todisteet kriteerien vieressä, mukaan lukien paikallinen tila, joka ne tuotti:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Vihreä testi rauhallisessa verkossa yhdellä kannettavalla on alkuhavainto. Se ei ole väite luotettavuudesta, ja sen sellaisena pitäminen on se tapa, jolla toimiva suunnittelu muuttuu suunnitteluksi, johon luotetaan.