მზადაა WireGuard წარმოებისთვის? პასუხი პროტოკოლში არ არის

ხალხი კითხულობს, მზადაა თუ არა WireGuard წარმოებისთვის, რაც კრიპტოგრაფიაზე კითხვას ჰგავს და სინამდვილეში თქვენს გარემოზე კითხვაა. პროტოკოლი წლების განმავლობაში განიხილება; განლაგებამ მაინც უნდა უპასუხოს, გადააქვთ თუ არა თქვენს ქსელებს მისი ტრანსპორტი, ვინ რეგისტრირებს და აცილებს მოწყობილობებს და ვინ აყენებს პაკეტს ორივე ბოლოში. ეს პასუხები განსხვავდება ერთ თაროში მდგარ ორ სერვერსა და ათას ლეპტოპს შორის. პროტოკოლი ორივე შემთხვევაში ერთია; ოპერაციები არა.

კითხვა კითხვის მიღმა

ხალხს ჩვეულებრივ აინტერესებს, შეუძლიათ თუ არა ისეთ დიზაინზე აიღონ ვალდებულება, რომელიც ექვს თვეში არ შეარცხვენს. ეს არის განლაგების კითხვა ოთხი ნაწილით და თითოეული ნაწილი შეიძლება დანარჩენებისგან დამოუკიდებლად ჩავარდეს. სამ მათგანზე კარგი პასუხი მეოთხეს არ ანაზღაურებს.

გამოშვებამდელი სნეპშოტის შესახებ ძველი გაფრთხილება ფაქტია იმ სნეპშოტზე და არა მუდმივი იარლიყი ყოველ შემდგომ პაკეტზე. ანალოგიურად, არცერთ ბლოგ პოსტს არ შეუძლია თქვენი კონკრეტული ბირთვის, კლიენტის, ქსელისა და პერსონალის კომბინაცია მზად გამოაცხადოს. სამუშაო ისაა, რომ კომბინაცია ცხადი გახადოთ და შეამოწმოთ.

მზადყოფნას მოეპყარით როგორც კარიბჭეების ერთობლიობას, რომლებსაც ან გადიხართ, ან ღიად აღნიშნავთ. ეს დავას აქცევს პასუხისმგებელი პირების მქონე შემოწმების სიად. ის ასევე ღია პუნქტებს აშკარად ხდის ყველასთვის, ვინც ამტკიცებს, ნაცვლად პილოტურ ანგარიშში ჩამარხვისა.

პირველი კარიბჭე: გზამ UDP უნდა გადაიტანოს

WireGuard თავის ტრაფიკს UDP-ზე გადააქვს და აფიქსირებს, რომ არ გთავაზობთ TCP რეჟიმს ან ტრაფიკის შენიღბვას. დიზაინი, რომელიც ეყრდნობა ჩვეულებრივ ვებ ტრაფიკად გამოჩენას, ან TCP ქცევის მისაღებად პორტის შეცვლას, ეფუძნება ვარაუდს, რომელსაც პროგრამა არ უჭერს მხარს.

ამიტომ პირველი კარიბჭე გამოკვლევაა და არა ერთ მანქანაზე ტესტი. ჩამოთვალეთ ის წვდომის გარემოები, სადაც თქვენი მომხმარებლები რეალურად მუშაობენ, შემდეგ თითოეულში შეამოწმეთ დამტკიცებული UDP გზა და გადაწყვიტეთ, რა ხდება, როცა ის მიუწვდომელია.

ოფისიდან მომუშავე კავშირი არაფერს ამტკიცებს სასტუმროს ქსელზე, კამპუსის ფაიერვოლზე ან მობილურ ოპერატორზე, რომელიც UDP-ს სხვანაირად ამუშავებს. სწორედ ეს გარემოებია მიზეზი, რომ დისტანციური წვდომის განლაგებები წარმატებული პილოტის შემდეგ ჩავარდება. პილოტი არ იყო მცდარი; ის ვიწრო იყო. მისი გაფართოება სწორედ კარიბჭეა.

ჩამოწერეთ სარეზერვო გზაც. თუ პასუხია, რომ სარეზერვო გზა არ არსებობს, ეს არის გადაწყვეტილება, რომლის წინასწარ გამოცხადებაც ღირს, ვიდრე მივლინების დროს აღმოჩენა.

მეორე კარიბჭე: ვიღაცას უნდა ეკუთვნოდეს გასაღებები

WireGuard-ის პირები ავთენტიფიკაციას გასაღებებით აკეთებენ, წყვილი თითო მონაწილეზე. ამის აღწერა მარტივია და ოპერაციულად მომთხოვნი, რადგან პროტოკოლში არაფერი არ არეგისტრირებს მოწყობილობას, არ აკვირდება, ვის აქვს რომელი გასაღები და არ ხსნის წვდომას, როცა ლეპტოპი იკარგება. პროტოკოლი ვარაუდობს, რომ გასაღებები უკვე სწორია, ხოლო სისწორე ვიღაცის საქმეა.

დაასახელეთ ის ადამიანი, ვინც მოწყობილობას არეგისტრირებს, ჩანაწერი, რომელიც საჯარო გასაღებს აკავშირებს ადამიანსა და მოწყობილობასთან, და წაშლის პროცედურა. თუ წაშლა დამოკიდებულია იმის გახსენებაზე, სად დაყენდა კონფიგურაციის ფაილის ასლები, პროცედურა არ დასრულებულა.

პილოტის დროს აირჩიეთ ერთი მოწყობილობა და გააუქმეთ ის თავიდან ბოლომდე. ეს სავარჯიშო უფრო სასარგებლო ინფორმაციას იძლევა, ვიდრე კიდევ ერთი კავშირის ტესტი, რადგან ამჟღავნებს ხარვეზებს თქვენს ჩანაწერებში.

მესამე კარიბჭე: პაკეტს მოვლის პირი სჭირდება

WireGuard შეიძლება მოვიდეს როგორც ბირთვში ჩაშენებული რეალიზაცია, როგორც დისტრიბუციის პაკეტი ან როგორც მომხმარებლის სივრცის კლიენტი, და თითოეულს თავისი განახლების გზა აქვს. ოპერაციული კითხვაა, რომელს ამუშავებთ, საიდან მოვიდა და ვინ აყენებს უსაფრთხოების ბიულეტენს.

ჩვენ ვიყენებთ WireGuard-ს ინვენტარიზაცია არ არის. ის არ განსაზღვრავს დასაპატჩავ პაკეტს, კარიბჭეზე არსებულ ვერსიას ან იმ ადამიანს, ვისაც ცუდი განახლების უკან დაბრუნება შეუძლია.

მეოთხე კარიბჭე: მიიღეთ დატვირთვა და არა ხელის ჩამორთმევა

მიღების კრიტერიუმებმა უნდა აღწეროს, რას აკეთებენ მომხმარებლები. შიდა აპლიკაციაზე მისვლა, მისი პირადი სახელის გადაწყვეტა, არასანქცირებულ დანიშნულებაზე უარის მიღება და გვირაბის გათიშვისას განსაზღვრული ქცევის დაცვა ყველა დაკვირვებადია, და წარმატებული ხელის ჩამორთმევა არც ერთი მათგანი არ არის.

გაატარეთ ეს შემოწმებები ქსელის ცვლილებაზე, მოწყობილობის გადატვირთვასა და კარიბჭის ტექნიკური მომსახურების ფანჯარაზე, რადგან სწორედ ამ გადასვლებში იშლება განლაგებები.

შეინახეთ მტკიცებულებები კრიტერიუმების გვერდით, მათ შორის ის ლოკალური მდგომარეობა, რომელმაც ისინი წარმოქმნა:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

მშვიდ ქსელში ერთი ლეპტოპით მწვანე ტესტი საწყისი დაკვირვებაა. ეს არ არის საიმედოობის მტკიცება, და მას ისე მოპყრობა სწორედ ის გზაა, რომლითაც მომუშავე დიზაინი სანდო დიზაინად იქცევა.