Дали WireGuard е подготвен за продукција? Одговорот не е во протоколот

Луѓето прашуваат дали WireGuard е подготвен за продукција, што звучи како прашање за криптографијата, а всушност е прашање за вашата околина. Протоколот се прегледува со години; поставеноста сѐ уште мора да одговори дали вашите мрежи го пренесуваат неговиот транспорт, кој регистрира и отстранува уреди и кој го крпи пакетот на двата краја. Овие одговори се разликуваат меѓу два сервера во еден рек и илјада преносни компјутери. Протоколот е ист во двата случаи; операциите не се.

Прашањето зад прашањето

Она што луѓето обично сакаат да знаат е дали можат да се обврзат на дизајн што нема да ги посрами за шест месеци. Тоа е прашање за поставеност со четири дела, и секој дел може да пропадне независно од другите. Добрите одговори на три од нив не го надоместуваат четвртиот.

Старо предупредување за претходно издание е факт за тоа издание, а не трајна ознака на секој подоцнежен пакет. Исто така, ниту еден блог-запис не може да ја прогласи вашата конкретна комбинација од јадро, клиент, мрежа и персонал за подготвена. Работата е да се направи комбинацијата експлицитна и да се провери.

Третирајте ја подготвеноста како збир порти што или ги поминувате или ги запишувате како отворени. Тоа ја претвора расправата во контролна листа со одговорни. Таа исто така ги прави отворените ставки видливи за секој што одобрува, наместо да бидат закопани во пилот извештај.

Прва порта: патеката мора да носи UDP

WireGuard го пренесува својот сообраќај преку UDP и документира дека не нуди TCP режим ниту прикривање на сообраќајот. Дизајн што се потпира на тоа да изгледа како обичен веб-сообраќај или на менување на портата за да добие TCP однесување, се гради на претпоставка што софтверот не ја поддржува.

Затоа првата порта е истражување, а не тест на една машина. Наведете ги пристапните околини во кои вашите корисници навистина работат, потоа проверете ја одобрената UDP патека во секоја од нив и одлучете што се случува кога таа не е достапна.

Врска што работи од канцеларија не докажува ништо за хотелска мрежа, универзитетски огноотпорен ѕид или мобилен оператор што го обработува UDP поинаку. Токму тие околини се причината зошто поставувањата за далечински пристап пропаѓаат по успешен пилот. Пилотот не беше погрешен; беше тесен. Неговото проширување е портата.

Запишете ја и резервната патека. Ако одговорот е дека нема резервна патека, тоа е одлука што вреди да се објави однапред, наместо да се открие за време на службено патување.

Втора порта: некој мора да ги поседува клучевите

WireGuard партнерите се автентифицираат со клучеви, еден пар на учесник. Тоа е лесно да се опише и оперативно бара многу, бидејќи ништо во протоколот не регистрира уред, не следи кој држи кој клуч и не отстранува пристап кога преносен компјутер ќе се изгуби. Протоколот претпоставува дека клучевите веќе се точни, а точноста е нечија работа.

Именувајте ја личноста што регистрира уред, записот што ја поврзува јавниот клуч со личност и уред, и постапката за отстранување. Ако отстранувањето зависи од памтење каде биле инсталирани копии од конфигурациската датотека, постапката не е завршена.

За време на пилотот изберете еден уред и отстранете го од почеток до крај. Таа вежба дава покорисни информации од уште еден тест за поврзаност, бидејќи ги открива празнините во вашите записи.

Трета порта: пакетот бара одржувач

WireGuard може да дојде како вградена реализација во јадрото, како дистрибуциски пакет или како клиент во корисничкиот простор, и секој има своја патека за ажурирање. Оперативното прашање е која ја извршувате, од каде дојде и кој применува безбедносен билтен.

Користиме WireGuard не е инвентар. Тоа не го одредува пакетот што треба да се крпи, верзијата на портата ниту личноста што може да врати лошо ажурирање.

Четврта порта: прифатете го обемот на работа, а не ракувањето

Критериумите за прифаќање треба да опишуваат што прават корисниците. Да се стигне до внатрешна апликација, да се реши нејзиното приватно име, да се биде одбиен на неовластена дестинација и да се следи определеното однесување кога тунелот е паднат се сите видливи, а успешното ракување не е ниту едно од нив.

Проверете ги овие работи низ промена на мрежа, рестартирање на уред и прозорец за одржување на портата, бидејќи токму во тие премини поставеностите се кршат.

Чувајте ги доказите до критериумите, вклучително и локалната состојба што ги создала:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Зелен тест на тивка мрежа со еден преносен компјутер е почетно набљудување. Тоа не е тврдење за сигурноста, и третирањето како такво е патот по кој дизајн што работи станува дизајн на кој му се верува.