Ar WireGuard paruoštas gamybai? Atsakymas ne protokole

Žmonės klausia, ar WireGuard paruoštas gamybai, o tai skamba kaip klausimas apie kriptografiją ir iš tikrųjų yra klausimas apie jūsų aplinką. Protokolas nagrinėjamas jau metus; diegimui vis dar reikia atsakyti, ar jūsų tinklai perneša jo transportą, kas registruoja ir išima įrenginius ir kas pataiso paketą abiejuose galuose. Šie atsakymai skiriasi tarp dviejų serverių vienoje spintoje ir tūkstančio nešiojamųjų kompiuterių. Protokolas abiem atvejais tas pats; operacijos ne.

Klausimas už klausimo

Žmonės paprastai nori žinoti, ar gali įsipareigoti dizainui, kuris po pusės metų jų nesudarys gėdos. Tai diegimo klausimas iš keturių dalių, ir kiekviena dalis gali nepavykti nepriklausomai nuo kitų. Geri atsakymai į tris iš jų nekompensuoja ketvirtosios.

Senas įspėjimas apie išankstinę versiją yra faktas apie tą versiją, o ne nuolatinė etiketė ant kiekvieno vėlesnio paketo. Taip pat nė vienas tinklaraščio įrašas negali paskelbti paruošto jūsų konkretaus branduolio, kliento, tinklo ir personalo derinio. Darbas yra padaryti derinį aiškų ir jį patikrinti.

Pasirengimą traktuokite kaip vartų rinkinį, kuriuos arba įveikiate, arba užrašote kaip atvirus. Tai paverčia ginčą kontroliniu sąrašu su atsakingais. Ji taip pat padaro atvirus punktus matomus kiekvienam, kuris pasirašo, o ne palaidoja bandomojoje ataskaitoje.

Pirmieji vartai: kelias turi pernešti UDP

WireGuard perduoda savo srautą per UDP ir dokumentuoja, kad nesiūlo TCP režimo ar srauto maskavimo. Dizainas, kuris remiasi tuo, kad srautas atrodys kaip įprastas žiniatinklio srautas, arba prievado keitimu siekiant TCP elgsenos, grindžiamas prielaida, kurios programinė įranga nepalaiko.

Taigi pirmieji vartai yra apklausa, o ne bandymas vienoje mašinoje. Išvardykite prieigos aplinkas, kuriose jūsų naudotojai tikrai dirba, tada kiekvienoje patikrinkite patvirtintą UDP kelią ir nuspręskite, kas vyksta, kai jo nėra.

Ryšys, veikiantis iš biuro, nieko neįrodo apie viešbučio tinklą, studentų miestelio užkardą ar mobiliojo ryšio operatorių, kuris UDP apdoroja kitaip. Būtent šios aplinkos yra priežastis, kodėl nuotolinės prieigos diegimai žlunga po sėkmingo bandomojo projekto. Projektas nebuvo klaidingas; jis buvo siauras. Jį išplėsti ir yra vartai.

Užsirašykite ir atsarginį kelią. Jei atsakymas yra, kad atsarginio kelio nėra, tai sprendimas, kurį verta paskelbti iš anksto, o ne atrasti komandiruotės metu.

Antrieji vartai: kažkas turi valdyti raktus

WireGuard partneriai autentifikuojasi raktais, viena pora vienam dalyviui. Tai lengva apibūdinti ir reiklu operaciniu požiūriu, nes niekas protokole neregistruoja įrenginio, neseka, kas turi kurį raktą, ir nepašalina prieigos, kai nešiojamasis kompiuteris pametamas. Protokolas daro prielaidą, kad raktai jau teisingi, o teisingumas yra kažkieno darbas.

Įvardykite asmenį, kuris registruoja įrenginį, įrašą, kuris viešą raktą susieja su asmeniu ir įrenginiu, ir pašalinimo procedūrą. Jei pašalinimas priklauso nuo prisiminimo, kur buvo įdiegtos konfigūracijos failo kopijos, procedūra nebaigta.

Bandomojo projekto metu pasirinkite vieną įrenginį ir išimkite jį nuo pradžios iki pabaigos. Šis pratimas duoda naudingesnės informacijos nei dar vienas jungiamumo bandymas, nes atskleidžia jūsų įrašų spragas.

Tretieji vartai: paketui reikia prižiūrėtojo

WireGuard gali atkeliauti kaip branduolio vidinė realizacija, kaip platinimo paketas arba kaip naudotojo erdvės klientas, ir kiekvienas turi savo atnaujinimo kelią. Veiklos klausimas yra, kurią versiją vykdote, iš kur ji atėjo ir kas pritaiko saugumo biuletenį.

Mes naudojame WireGuard nėra inventorius. Jis nenurodo paketo, kurį reikia taisyti, versijos šliuze ar asmens, galinčio atšaukti blogą atnaujinimą.

Ketvirtieji vartai: priimkite darbo krūvį, o ne rankos paspaudimą

Priėmimo kriterijai turėtų aprašyti, ką naudotojai daro. Pasiekti vidinę programą, išspręsti jos privatų vardą, būti atmestam neleistinoje paskirties vietoje ir laikytis apibrėžtos elgsenos, kai tunelis neveikia, yra visi stebimi, o sėkmingas rankos paspaudimas nėra nė vienas jų.

Atlikite šiuos patikrinimus per tinklo pasikeitimą, įrenginio perkrovimą ir šliuzo priežiūros langą, nes būtent tuose perėjimuose diegimai lūžta.

Laikykite įrodymus šalia kriterijų, įskaitant tą vietinę būseną, kuri juos sukūrė:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Žalias bandymas ramiame tinkle su vienu nešiojamuoju kompiuteriu yra pradinis stebėjimas. Tai nėra patikimumo teiginys, ir elgtis su juo taip yra kelias, kuriuo veikiantis dizainas tampa dizainu, kuriuo pasitikima.