Je WireGuard pripravený na produkciu? Odpoveď nie je v protokole

Ľudia sa pýtajú, či je WireGuard pripravený na produkciu, čo znie ako otázka o kryptografii a v skutočnosti je otázkou o vašom prostredí. Protokol sa skúma roky; nasadenie stále musí odpovedať, či vaše siete prenášajú jeho transport, kto zaraďuje a vyraďuje zariadenia a kto záplatuje balík na oboch stranách. Tieto odpovede sa líšia medzi dvoma servermi v jednej skrini a tisíckou notebookov. Protokol je v oboch prípadoch rovnaký; prevádzka nie.

Otázka za otázkou

Ľudia zvyčajne chcú vedieť, či sa môžu zaviazať k návrhu, ktorý ich o pol roka neprivedie do rozpakov. Je to otázka nasadenia so štyrmi časťami a každá časť môže zlyhať nezávisle od ostatných. Dobré odpovede na tri z nich štvrtú nenahradia.

Staré varovanie o predbežnom vydaní je fakt o tomto vydaní, nie trvalá etiketa na každom neskoršom balíku. Rovnako žiadny blogový príspevok nemôže vyhlásiť vašu konkrétnu kombináciu jadra, klienta, siete a personálu za pripravenú. Úlohou je urobiť kombináciu explicitnou a overiť ju.

Berte pripravenosť ako súbor brán, ktoré buď prejdete, alebo zaznamenáte ako otvorené. To mení spor na kontrolný zoznam s vlastníkmi. Tiež sprístupňuje otvorené položky každému, kto podpisuje, namiesto toho, aby zostali pochované v pilotnej správe.

Prvá brána: cesta musí prenášať UDP

WireGuard prenáša svoju prevádzku cez UDP a dokumentuje, že neponúka režim TCP ani maskovanie prevádzky. Návrh, ktorý sa spolieha na to, že bude vyzerať ako bežná webová prevádzka, alebo na zmenu portu kvôli správaniu TCP, stojí na predpoklade, ktorý softvér nepodporuje.

Prvou bránou je teda prieskum, nie test na jednom stroji. Vypíšte prístupové prostredia, v ktorých vaši používatelia skutočne pracujú, potom v každom overte schválenú cestu UDP a rozhodnite, čo sa stane, keď nie je dostupná.

Spojenie, ktoré funguje z kancelárie, nič nedokazuje o hotelovej sieti, univerzitnom firewalle alebo mobilnom operátorovi, ktorý spracúva UDP inak. Práve tieto prostredia sú dôvodom, prečo nasadenia vzdialeného prístupu po úspešnom pilote zlyhávajú. Pilot nebol nesprávny; bol úzky. Jeho rozšírenie je tou bránou.

Zapíšte aj záložnú cestu. Ak je odpoveď, že záložná cesta neexistuje, je to rozhodnutie, ktoré stojí za to oznámiť vopred, namiesto toho, aby ste ho objavili počas služobnej cesty.

Druhá brána: niekto musí vlastniť kľúče

Partnerské uzly WireGuard sa overujú kľúčmi, jeden pár na účastníka. To sa ľahko opisuje a prevádzkovo je to náročné, pretože nič v protokole nezaraďuje zariadenie, nesleduje, kto drží ktorý kľúč, ani neodoberá prístup, keď sa notebook stratí. Protokol predpokladá, že kľúče sú už správne, a správnosť je niekoho práca.

Pomenujte človeka, ktorý zaraďuje zariadenie, záznam, ktorý spája verejný kľúč s osobou a zariadením, a postup odobratia. Ak odobratie závisí od toho, či si pamätáte, kam boli nainštalované kópie konfiguračného súboru, postup nie je dokončený.

Počas pilota vyberte jedno zariadenie a vyraďte ho od začiatku do konca. Toto cvičenie prináša užitočnejšie informácie ako ďalší test konektivity, pretože odhalí medzery vo vašich záznamoch.

Tretia brána: balík potrebuje správcu

WireGuard môže prísť ako implementácia v jadre, ako distribučný balík alebo ako klient v používateľskom priestore a každý má vlastnú cestu aktualizácie. Prevádzková otázka je, ktorý z nich prevádzkujete, odkiaľ pochádza a kto aplikuje bezpečnostné oznámenie.

Používame WireGuard nie je inventár. Neurčuje balík na záplatu, verziu na bráne ani človeka, ktorý vie vrátiť zlú aktualizáciu.

Štvrtá brána: prijmite záťaž, nie podanie ruky

Akceptačné kritériá by mali opisovať, čo používatelia robia. Dosiahnuť internú aplikáciu, vyriešiť jej súkromné meno, byť odmietnutý na nepovolenom cieli a dodržať definované správanie pri výpadku tunela — to všetko je pozorovateľné, a úspešné podanie ruky nie je nič z toho.

Prežeňte tieto kontroly zmenou siete, reštartom zariadenia a oknom údržby brány, pretože práve v týchto prechodoch sa nasadenia lámu.

Uchovávajte dôkazy popri kritériách, vrátane miestneho stavu, ktorý ich vytvoril:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Zelený test v pokojnej sieti s jedným notebookom je počiatočné pozorovanie. Nie je to tvrdenie o spoľahlivosti a prijímať ho ako také je cesta, ktorou sa z fungujúceho návrhu stane návrh, ktorému sa dôveruje.