WireGuard huwa lest għall-produzzjoni? It-tweġiba mhix il-protokoll

In-nies jistaqsu jekk WireGuard huwiex lest għall-produzzjoni, li jinstema' bħal mistoqsija dwar il-kriptografija u fil-verità hija mistoqsija dwar l-ambjent tiegħek. Il-protokoll ilu jiġi rivedut snin; l-iskjerament xorta jrid iwieġeb jekk in-networks tiegħek iġorrux it-trasport tiegħu, min jirreġistra u jirtira apparati u min isewwi l-pakkett fiż-żewġt itruf. Dawn it-tweġibiet ivarjaw bejn żewġ servers f'rack wieħed u elf laptop. Il-protokoll huwa l-istess fiż-żewġ każijiet; l-operazzjonijiet mhumiex.

Il-mistoqsija wara l-mistoqsija

Dak li n-nies normalment iridu jkunu jafu huwa jekk jistgħux jimpenjaw ruħhom għal disinn li ma jġegħlhomx jistħu fi żmien sitt xhur. Din hija mistoqsija ta' skjerament b'erba' partijiet, u kull parti tista' tfalli indipendentement mill-oħrajn. Tweġibiet tajbin għal tlieta minnhom ma jikkumpensawx għar-raba'.

Twissija antika dwar snapshot ta' qabel ir-rilaxx hija fatt dwar dak is-snapshot, mhux tikketta permanenti fuq kull pakkett aktar tard. Bl-istess mod, l-ebda post fil-blog ma jista' jiddikjara lesta l-kombinazzjoni speċifika tiegħek ta' kernel, klijent, network u persunal. Ix-xogħol huwa li tagħmel il-kombinazzjoni espliċita u tiċċekkjaha.

Ittratta l-lestizza bħala sett ta' bibien li jew tgħaddi minnhom jew tirreġistrahom bħala miftuħa. Dan ibiddel dibattitu f'lista ta' kontroll b'sidien. Huwa wkoll jagħmel il-punti miftuħa viżibbli għal kull min japprova, minflok midfuna f'rapport pilota.

L-ewwel bieba: il-mogħdija trid iġġorr UDP

WireGuard iġorr it-traffiku tiegħu fuq UDP u jiddokumenta li ma jipprovdix mod TCP jew tħawwid tat-traffiku. Disinn li jiddependi milli jidher bħal traffiku web ordinarju, jew milli jbiddel il-port biex jikseb imġiba TCP, huwa mibni fuq suppożizzjoni li s-software ma jappoġġjax.

Għalhekk l-ewwel bieba hija stħarriġ, mhux test fuq magna waħda. Elenka l-ambjenti ta' aċċess li fihom l-utenti tiegħek tassew jaħdmu, imbagħad ivverifika l-mogħdija UDP approvata f'kull wieħed u tiddeċiedi x'jiġri meta ma tkunx disponibbli.

Konnessjoni li taħdem mill-uffiċċju ma tipprova xejn dwar network ta' lukanda, firewall ta' kampus jew operatur mobbli li jittratta UDP b'mod differenti. Dawk l-ambjenti huma r-raġuni għaliex l-iskjeramenti ta' aċċess mill-bogħod ifallu wara pilota ta' suċċess. Il-pilota ma kienx ħażin; kien dejjaq. Li twessgħu hija l-bieba.

Ikteb ukoll il-mogħdija ta' rikors. Jekk it-tweġiba hija li m'hemmx mogħdija ta' rikors, din hija deċiżjoni li ta' min tiddikjara bil-quddiem minflok ma tiskopriha waqt vjaġġ tax-xogħol.

It-tieni bieba: xi ħadd irid ikollu s-sjieda taċ-ċwievet

Il-peers ta' WireGuard jawtentikaw ruħhom biċ-ċwievet, par wieħed għal kull parteċipant. Dan huwa faċli jiddeskrivi u eżiġenti fl-operat, għax xejn fil-protokoll ma jirreġistra apparat, ma jittraċċa min għandu liema ċavetta jew ma jneħħi l-aċċess meta laptop jintilef. Il-protokoll jassumi li ċ-ċwievet huma diġà korretti, u l-korrettezza hija xogħol ta' xi ħadd.

Semmi l-persuna li tirreġistra apparat, ir-rekord li jgħaqqad ċavetta pubblika ma' persuna u apparat, u l-proċedura għat-tneħħija. Jekk it-tneħħija tiddependi milli tiftakar fejn ġew installati kopji ta' fajl ta' konfigurazzjoni, il-proċedura mhijiex mitmuma.

Agħżel apparat wieħed waqt il-pilota u irtirah mill-bidu sat-tmiem. Dak l-eżerċizzju jipproduċi informazzjoni aktar utli minn test ieħor tal-konnettività, għax jesponi l-vojtiet fir-rekords tiegħek.

It-tielet bieba: il-pakkett jeħtieġ manutentur

WireGuard jista' jiġi bħala implimentazzjoni fil-kernel, bħala pakkett tad-distribuzzjoni jew bħala klijent fl-ispazju tal-utent, u kull wieħed għandu l-mogħdija tal-aġġornament tiegħu. Il-mistoqsija operattiva hija liema waħda tħaddem, minn fejn ġiet u min japplika avviż tas-sigurtà.

Nużaw WireGuard mhix inventarju. Ma jidentifikax il-pakkett li jrid jiġi ssewwija, il-verżjoni fuq il-gateway jew il-persuna li tista' tirrulla lura aġġornament ħażin.

Ir-raba' bieba: aċċetta l-piż tax-xogħol, mhux il-handshake

Il-kriterji ta' aċċettazzjoni għandhom jiddeskrivu x'jagħmlu l-utenti. Li tasal għal applikazzjoni interna, li ssolvi l-isem privat tagħha, li tiġi rrifjutat f'destinazzjoni mhux awtorizzata u li ssegwi l-imġiba definita meta l-mina tkun niżlet huma kollha osservabbli, u handshake ta' suċċess mhuwiex wieħed minnhom.

Mexxi dawk il-verifiki permezz ta' bidla fin-network, restart tal-apparat u tieqa tal-manutenzjoni tal-gateway, għax huwa f'dawk it-transizzjonijiet li l-iskjeramenti jinqasmu.

Żomm l-evidenza maġenb il-kriterji, inkluż l-istat lokali li pproduċiha:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Test aħdar fuq network kwiet b'laptop wieħed hija osservazzjoni inizjali. Mhuwiex stqarrija dwar l-affidabbiltà, u li tittrattah bħala tali hija t-triq li biha disinn li jaħdem isir disinn li wieħed jafdah.