Er WireGuard tilbúið í framleiðslu? Svarið er ekki prótókallið

Fólk spyr hvort WireGuard sé tilbúið í framleiðslu, sem hljómar eins og spurning um dulritun og er í raun spurning um umhverfið þitt. Prótókallið hefur verið yfirfarið í áraraðir; uppsetningin verður samt að svara hvort netin þín beri flutninginn, hver skráir og lætur tæki hætta og hver plástrar pakkann í báðum endum. Þessi svör eru mismunandi fyrir tvo netþjóna í einum rekk og þúsund fartölvur. Prótókallið er það sama í báðum tilvikum; aðgerðirnar ekki.

Spurningin bak við spurninguna

Það sem fólk vill venjulega vita er hvort það geti skuldbundið sig hönnun sem kemur því ekki í vandræði eftir hálft ár. Þetta er uppsetningarspurning í fjórum hlutum, og hver hluti getur bilað óháð hinum. Góð svör við þremur þeirra vega ekki upp fjórða hlutann.

Gömul viðvörun um forútgáfu er staðreynd um þá útgáfu, ekki varanlegt merki á hverjum síðari pakka. Á sama hátt getur engin bloggfærsla lýst samblandi þínu af kjarna, biðlara, neti og starfsfólki sem tilbúnu. Verkið er að gera sambandið skýrt og athuga það.

Líttu á vilnun sem mengi hliða sem þú ferð í gegnum eða skráir sem opin. Það breytir rökræðum í gátlista með ábyrgðaraðilum. Það gerir líka opin atriðin sýnileg hverjum sem samþykkir, í stað þess að þau séu grafin í tilraunaskýrslu.

Hlið eitt: leiðin verður að bera UDP

WireGuard ber umferð sína yfir UDP og skjalfestir að það bjóði hvorki TCP-ham né umferðarhuldningu. Hönnun sem byggir á að hún líti út eins og venjuleg vefumferð, eða á að skipta um gátt til að fá TCP-hegðun, hvílir á forsendu sem hugbúnaðurinn styður ekki.

Fyrsta hliðið er því könnun, ekki prófun á einni vél. Skráðu aðgangsumhverfin sem notendur þínir vinna í raun í, staðfestu síðan samþykktu UDP-leiðina í hverju þeirra og ákveddu hvað gerist þegar hún er ekki tiltæk.

Tenging sem virkar frá skrifstofunni sannar ekkert um hótelnet, háskólamúr eða farsímafyrirtæki sem meðhöndlar UDP öðruvísi. Þessi umhverfi eru ástæðan fyrir því að uppsetningar fjartengingar mistakast eftir árangursríka tilraun. Tilraunin var ekki röng; hún var þröng. Að víkka hana er hliðið.

Skrifaðu líka niður varaleiðina. Ef svarið er að engin varaleið sé til, er það ákvörðun sem er þess virði að lýsa yfir fyrirfram í stað þess að uppgötva hana á viðskiptaferð.

Hlið tvö: einhver verður að eiga lyklana

Jafningjar WireGuard sannvotta sig með lyklum, einu pari á hvern þátttakanda. Það er auðvelt að lýsa og krefjandi í rekstri, því ekkert í prótókallinu skráir tæki, fylgist með hver hefur hvaða lykil eða fjarlægir aðgang þegar fartölva tapast. Prótókallið gerir ráð fyrir að lyklarnir séu þegar réttir, og réttmæti er vinna einhvers.

Nefndu þann sem skráir tæki, færsluna sem tengir opinberan lykil við manneskju og tæki, og verklagið fyrir fjarlægingu. Ef fjarlæging fer eftir því að muna hvar afrit af stillingarskrá voru sett upp, er verklagið ekki lokið.

Veldu eitt tæki í tilrauninni og lát það hætta frá upphafi til enda. Sú æfing gefur gagnlegri upplýsingar en önnur tengiprófun, því hún leiðir í ljós eyðurnar í skráningum þínum.

Hlið þrjú: pakkinn þarf viðhaldsaðila

WireGuard getur komið sem innbygging í kjarnanum, sem dreifingarpakki eða sem biðlari í notendarými, og hver hefur sína uppfærsluleið. Rekstrarspurningin er hverju þú keyrir, hvaðan það kom og hver beitir öryggistilkynningu.

Við notum WireGuard er ekki birgðaskrá. Það auðkennir hvorki pakkann sem á að plástra, útgáfuna á gáttinni né manneskjuna sem getur bakkað slæma uppfærslu.

Hlið fjögur: samþykktu vinnuálagið, ekki handabandið

Samþykkisskilyrði ættu að lýsa því sem notendur gera. Að ná í innra forrit, leysa einkanafn þess, vera hafnað á óheimilum áfangastað og fylgja skilgreindri hegðun þegar göngin eru niðri eru öll sjáanleg, og árangursríkt handaband er ekkert þeirra.

Keyrðu þessar athuganir í gegnum netbreytingu, endurræsingu tækis og viðhaldsglugga gáttarinnar, því það er í þessum umskiptum sem uppsetningar brotna.

Geymdu sönnunargögnin við hlið skilyrðanna, þar á meðal hið staðbundna ástand sem framleiddi þau:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Græn prófun á kyrrlátu neti með einni fartölvu er upphafleg athugun. Hún er ekki fullyrðing um áreiðanleika, og að meðhöndla hana sem slíka er leiðin sem hönnun sem virkar verður hönnun sem treyst er á.