Is WireGuard klaar voor productie? Het antwoord is niet het protocol

Mensen vragen of WireGuard klaar is voor productie, wat klinkt als een vraag over cryptografie en in werkelijkheid een vraag over uw omgeving is. Het protocol wordt al jaren beoordeeld; de uitrol moet nog steeds antwoorden of uw netwerken het transport dragen, wie apparaten inschrijft en uitfasert en wie het pakket aan beide kanten patcht. Die antwoorden verschillen tussen twee servers in één rack en duizend laptops. Het protocol is in beide gevallen hetzelfde; de operatie niet.

De vraag achter de vraag

Wat mensen meestal willen weten, is of ze zich kunnen vastleggen op een ontwerp dat hen over zes maanden niet in verlegenheid brengt. Dat is een uitrolvraag met vier delen, en elk deel kan onafhankelijk van de andere falen. Goede antwoorden op drie ervan compenseren het vierde niet.

Een oude waarschuwing over een voorlopige versie is een feit over die versie, geen permanent label op elk later pakket. Evenzo kan geen blogpost uw specifieke combinatie van kernel, client, netwerk en personeel gereed verklaren. Het werk is de combinatie expliciet maken en haar controleren.

Behandel gereedheid als een reeks poorten die u ofwel haalt ofwel als open vastlegt. Dat maakt van een discussie een checklist met eigenaren. Het maakt ook de open punten zichtbaar voor wie goedkeurt, in plaats van begraven in een pilotrapport.

Poort één: het pad moet UDP dragen

WireGuard draagt zijn verkeer over UDP en documenteert dat het geen TCP-modus of verkeersobfuscatie biedt. Een ontwerp dat erop rekent dat het op gewoon webverkeer lijkt, of op het wijzigen van de poort om TCP-gedrag te krijgen, berust op een aanname die de software niet ondersteunt.

De eerste poort is dus een inventarisatie, geen test op één machine. Lijst de toegangsomgevingen op waarin uw gebruikers echt werken, verifieer daarna het goedgekeurde UDP-pad in elk ervan en beslis wat er gebeurt als het niet beschikbaar is.

Een verbinding die vanaf kantoor werkt, bewijst niets over een hotelnetwerk, een campusfirewall of een mobiele aanbieder die UDP anders behandelt. Die omgevingen zijn de reden dat uitrolprojecten voor externe toegang mislukken na een geslaagde pilot. De pilot was niet fout; hij was smal. Hem verbreden is de poort.

Schrijf ook de terugvalroute op. Als het antwoord is dat er geen terugvalroute is, is dat een beslissing die je vooraf moet benoemen in plaats van tijdens een zakenreis te ontdekken.

Poort twee: iemand moet de sleutels bezitten

WireGuard-peers authenticeren met sleutels, één paar per deelnemer. Dat is eenvoudig te beschrijven en veeleisend in de operatie, omdat niets in het protocol een apparaat inschrijft, bijhoudt wie welke sleutel heeft of de toegang intrekt wanneer een laptop zoekraakt. Het protocol veronderstelt dat de sleutels al kloppen, en juistheid is iemands werk.

Benoem de persoon die een apparaat inschrijft, de registratie die een publieke sleutel aan een persoon en een apparaat koppelt, en de procedure voor verwijdering. Als verwijdering afhangt van het onthouden waar kopieën van een configuratiebestand zijn geïnstalleerd, is de procedure niet af.

Kies tijdens de pilot één apparaat en faseer het van begin tot eind uit. Die oefening levert nuttiger informatie op dan nog een connectiviteitstest, omdat ze de gaten in uw administratie blootlegt.

Poort drie: het pakket heeft een beheerder nodig

WireGuard kan komen als implementatie in de kernel, als distributiepakket of als client in de gebruikersruimte, en elk heeft zijn eigen updateroute. De operationele vraag is welke u draait, waar die vandaan komt en wie een beveiligingsbulletin toepast.

Wij gebruiken WireGuard is geen inventaris. Het benoemt niet het pakket dat gepatcht moet worden, de versie op de gateway of de persoon die een slechte update kan terugdraaien.

Poort vier: accepteer de werklast, niet de handdruk

Acceptatiecriteria zouden moeten beschrijven wat gebruikers doen. Een interne toepassing bereiken, de privénaam ervan oplossen, geweigerd worden bij een niet-toegestane bestemming en het gedefinieerde gedrag volgen als de tunnel plat ligt, zijn allemaal waarneembaar, en een geslaagde handdruk is daar geen van.

Laat die controles lopen door een netwerkwijziging, een herstart van een apparaat en een onderhoudsvenster van de gateway, want in die overgangen breken uitrollen.

Bewaar de bewijzen naast de criteria, inclusief de lokale status die ze heeft voortgebracht:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Een groene test op een rustig netwerk met één laptop is een eerste observatie. Het is geen bewering over betrouwbaarheid, en die als zodanig behandelen is hoe een ontwerp dat werkt een ontwerp wordt dat men vertrouwt.