Vai WireGuard ir gatavs ražošanai? Atbilde nav protokolā

Cilvēki jautā, vai WireGuard ir gatavs ražošanai, kas izklausās pēc jautājuma par kriptogrāfiju un patiesībā ir jautājums par jūsu vidi. Protokols tiek pārbaudīts jau gadiem; ieviešanai joprojām jāatbild, vai jūsu tīkli pārvadā tā transportu, kas reģistrē un izņem ierīces un kas labo pakotni abos galos. Šīs atbildes atšķiras starp diviem serveriem vienā plauktā un tūkstoti portatīvo datoru. Protokols abos gadījumos ir viens; darbības nav.

Jautājums aiz jautājuma

Cilvēki parasti grib zināt, vai viņi var apņemties dizainu, kas pēc pusgada viņus neapkaunos. Tas ir ieviešanas jautājums ar četrām daļām, un katra daļa var neizdoties neatkarīgi no pārējām. Labas atbildes uz trim no tām nekompensē ceturto.

Vecs brīdinājums par pirmizlaiduma momentuzņēmumu ir fakts par to momentuzņēmumu, nevis pastāvīga etiķete uz katras vēlākās pakotnes. Tāpat neviens emuāra ieraksts nevar pasludināt jūsu konkrēto kodola, klienta, tīkla un personāla kombināciju par gatavu. Darbs ir padarīt kombināciju skaidru un to pārbaudīt.

Uztveriet gatavību kā vārtu kopumu, ko vai nu izbraucat, vai pierakstāt kā atvērtus. Tas pārvērš strīdu kontrolsarakstā ar atbildīgajiem. Tas arī padara atvērtos punktus redzamus ikvienam, kas paraksta, nevis aprauj tos izmēģinājuma ziņojumā.

Pirmie vārti: ceļam jāpārvadā UDP

WireGuard pārvadā savu satiksmi UDP un dokumentē, ka nenodrošina TCP režīmu vai satiksmes maskēšanu. Dizains, kas paļaujas uz to, ka satiksme izskatīsies kā parasta tīmekļa satiksme, vai uz porta maiņu, lai iegūtu TCP uzvedību, balstās uz pieņēmumu, ko programmatūra neatbalsta.

Tāpēc pirmie vārti ir apsekojums, nevis pārbaude vienā mašīnā. Uzskaitiet piekļuves vides, kurās jūsu lietotāji patiešām strādā, pēc tam pārbaudiet apstiprināto UDP ceļu katrā no tām un izlemiet, kas notiek, kad tas nav pieejams.

Savienojums, kas darbojas no biroja, neko nepierāda par viesnīcas tīklu, universitātes ugunsmūri vai mobilo operatoru, kas UDP apstrādā citādi. Tieši šīs vides ir iemesls, kāpēc attālinātās piekļuves ieviešanas sabrūk pēc veiksmīga izmēģinājuma. Izmēģinājums nebija nepareizs; tas bija šaurs. To paplašināt ir vārti.

Pierakstiet arī rezerves ceļu. Ja atbilde ir, ka rezerves ceļa nav, tas ir lēmums, ko ir vērts paziņot iepriekš, nevis atklāt komandējuma laikā.

Otrie vārti: kādam jāpārvalda atslēgas

WireGuard vienaudži autentificējas ar atslēgām, viens pāris uz dalībnieku. To ir viegli aprakstīt un ekspluatācijā prasīgi, jo nekas protokolā nereģistrē ierīci, neizseko, kam ir kura atslēga, un nenoņem piekļuvi, kad portatīvais dators tiek pazaudēts. Protokols pieņem, ka atslēgas jau ir pareizas, un pareizība ir kāda darbs.

Nosauciet personu, kas reģistrē ierīci, ierakstu, kas publisko atslēgu saista ar personu un ierīci, un noņemšanas procedūru. Ja noņemšana ir atkarīga no atcerēšanās, kur tika instalētas konfigurācijas faila kopijas, procedūra nav pabeigta.

Izmēģinājuma laikā izvēlieties vienu ierīci un izņemiet to no sākuma līdz beigām. Šis vingrinājums sniedz noderīgāku informāciju nekā vēl viens savienojamības tests, jo atklāj robus jūsu ierakstos.

Trešie vārti: pakotnei vajag uzturētāju

WireGuard var nākt kā kodolā iebūvēta realizācija, kā distribūcijas pakotne vai kā lietotāja telpas klients, un katram ir savs atjaunināšanas ceļš. Ekspluatācijas jautājums ir, kuru jūs darbinat, no kurienes tas nāca un kas piemēro drošības biļetenu.

Mēs lietojam WireGuard nav inventārs. Tas nenorāda labojamo pakotni, versiju uz vārtejas vai personu, kas var atritināt sliktu atjauninājumu.

Cetur tie vārti: pieņemiet darba slodzi, nevis rokas paspiešanu

Pieņemšanas kritērijiem jāapraksta, ko dara lietotāji. Sasniegt iekšēju lietojumprogrammu, atrisināt tās privāto nosaukumu, tikt noraidītam neautorizētā galamērķī un ievērot noteikto uzvedību, kad tunelis ir izslēgts, ir visi novērojami, un veiksmīga rokas paspiešana nav neviens no tiem.

Veiciet šīs pārbaudes caur tīkla maiņu, ierīces restartu un vārtejas apkalpošanas logu, jo tieši šajās pārejās ieviešanas lūzt.

Turiet pierādījumus līdzās kritērijiem, tostarp to vietējo stāvokli, kas tos radīja:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Zaļš tests mierīgā tīklā ar vienu portatīvo datoru ir sākotnējs novērojums. Tas nav apgalvojums par uzticamību, un izturēties pret to tā ir ceļš, kā strādājošs dizains kļūst par dizainu, kuram uzticas.