Adakah WireGuard bersedia untuk pengeluaran? Jawapannya bukan protokol

Orang bertanya sama ada WireGuard bersedia untuk pengeluaran, yang kedengaran seperti soalan tentang kriptografi dan sebenarnya soalan tentang persekitaran anda. Protokol telah dikaji selama bertahun-tahun; penggunaan masih perlu menjawab sama ada rangkaian anda membawa pengangkutannya, siapa mendaftar dan memberhentikan peranti, dan siapa menampal pakej di kedua-dua hujung. Jawapan itu berbeza antara dua pelayan dalam satu rak dan seribu komputer riba. Protokolnya sama dalam kedua-dua kes; operasinya tidak.

Soalan di sebalik soalan

Apa yang orang biasanya mahu tahu ialah sama ada mereka boleh komited kepada reka bentuk yang tidak akan memalukan mereka dalam enam bulan. Ini soalan penggunaan dengan empat bahagian, dan setiap bahagian boleh gagal secara bebas daripada yang lain. Menjawab tiga dengan baik tidak menggantikan yang keempat.

Amaran lama tentang petikan pra-keluaran ialah fakta tentang petikan itu, bukan label kekal pada setiap pakej kemudian. Begitu juga, tiada catatan blog boleh mengisytiharkan gabungan kernel, klien, rangkaian dan kakitangan anda yang khusus sebagai bersedia. Kerjanya ialah menjadikan gabungan itu jelas dan menyemaknya.

Layan kesediaan sebagai satu set gerbang yang sama ada anda lalui atau catat sebagai terbuka. Itu menjadikan perdebatan sebagai senarai semak dengan pemilik. Ia juga menjadikan perkara terbuka itu kelihatan kepada sesiapa yang meluluskan, bukannya tertanam dalam laporan perintis.

Gerbang satu: laluan mesti membawa UDP

WireGuard membawa trafiknya melalui UDP dan mendokumenkan bahawa ia tidak menyediakan mod TCP atau penyamaran trafik. Reka bentuk yang bergantung pada penampilannya seperti trafik web biasa, atau pada penukaran port untuk memperoleh tingkah laku TCP, dibina atas andaian yang tidak disokong oleh perisian itu.

Jadi gerbang pertama ialah tinjauan, bukan ujian pada satu mesin. Senaraikan persekitaran akses tempat pengguna anda benar-benar bekerja, kemudian sahkan laluan UDP yang diluluskan dalam setiap satu dan putuskan apa yang berlaku apabila ia tidak tersedia.

Sambungan yang berfungsi dari pejabat tidak membuktikan apa-apa tentang rangkaian hotel, tembok api kampus atau pengendali mudah alih yang mengendalikan UDP secara berbeza. Persekitaran itulah sebabnya penggunaan akses jauh gagal selepas perintis yang berjaya. Perintis itu tidak salah; ia sempit. Meluaskannya ialah gerbangnya.

Tuliskan juga laluan sandaran. Jika jawapannya tiada laluan sandaran, itu keputusan yang wajar diisytiharkan lebih awal daripada ditemui semasa perjalanan kerja.

Gerbang dua: seseorang mesti memiliki kunci

Peer WireGuard mengesahkan diri dengan kunci, satu pasangan bagi setiap peserta. Ia mudah dijelaskan dan menuntut dari segi operasi, kerana tiada apa dalam protokol yang mendaftar peranti, menjejak siapa memegang kunci mana atau menarik akses apabila komputer riba hilang. Protokol menganggap kunci sudah betul, dan ketepatan ialah kerja seseorang.

Namakan orang yang mendaftar peranti, rekod yang memetakan kunci awam kepada seseorang dan peranti, dan prosedur penyingkiran. Jika penyingkiran bergantung pada mengingati di mana salinan fail konfigurasi dipasang, prosedurnya belum selesai.

Pilih satu peranti semasa perintis dan berhentikannya dari awal hingga akhir. Latihan itu menghasilkan maklumat yang lebih berguna daripada ujian sambungan lain, kerana ia mendedahkan jurang dalam rekod anda.

Gerbang tiga: pakej perlu penyelia

WireGuard boleh datang sebagai pelaksanaan dalam kernel, sebagai pakej pengedaran atau sebagai klien di ruang pengguna, dan setiap satu mempunyai laluan kemas kini sendiri. Soalan operasinya ialah yang mana anda jalankan, dari mana asalnya dan siapa menggunakan buletin keselamatan.

Kami menggunakan WireGuard bukan inventori. Ia tidak mengenal pasti pakej yang perlu ditampal, versi pada get laluan atau orang yang boleh menggulung balik kemas kini yang buruk.

Gerbang empat: terima beban kerja, bukan jabat tangan

Kriteria penerimaan patut menerangkan apa yang pengguna lakukan. Mencapai aplikasi dalaman, menyelesaikan nama peribadinya, ditolak di destinasi yang tidak dibenarkan dan mengikut tingkah laku yang ditetapkan apabila terowong mati semuanya boleh diperhatikan, dan jabat tangan yang berjaya bukan salah satunya.

Jalankan semakan itu melalui perubahan rangkaian, permulaan semula peranti dan tetingkap penyelenggaraan get laluan, kerana pada peralihan itulah penggunaan rosak.

Simpan bukti di sebelah kriteria, termasuk keadaan setempat yang menghasilkannya:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Ujian hijau pada rangkaian tenang dengan satu komputer riba ialah pemerhatian awal. Ia bukan dakwaan kebolehpercayaan, dan melayaninya sedemikian ialah cara reka bentuk yang berfungsi menjadi reka bentuk yang dipercayai.