Je WireGuard pripravljen na produkcijo? Odgovor ni v protokolu

Ljudje sprašujejo, ali je WireGuard pripravljen na produkcijo, kar zveni kot vprašanje o kriptografiji in je v resnici vprašanje o vašem okolju. Protokol se preverja že leta; namestitev mora še vedno odgovoriti, ali vaša omrežja prenašajo njegov promet, kdo vpisuje in upokojuje naprave in kdo na obeh koncih popravlja paket. Ti odgovori se razlikujejo med dvema strežnikoma v istem stojalu in tisoč prenosniki. Protokol je v obeh primerih enak; operacije niso.

Vprašanje za vprašanjem

Ljudje običajno želijo vedeti, ali se lahko zavežejo k zasnovi, ki jih čez pol leta ne bo spravila v zadrego. To je vprašanje namestitve s štirimi deli in vsak del lahko odpove neodvisno od drugih. Dobri odgovori na tri od njih ne nadomestijo četrtega.

Staro opozorilo o predizdaji je dejstvo o tisti izdaji, ne trajna oznaka na vsakem poznejšem paketu. Prav tako noben blog ne more razglasiti vaše konkretne kombinacije jedra, odjemalca, omrežja in osebja za pripravljeno. Delo je, da kombinacijo naredite izrecno in jo preverite.

Pripravljenost obravnavajte kot nabor vrat, ki jih bodisi prestopite bodisi zabeležite kot odprta. To spremeni razpravo v kontrolni seznam z odgovornimi. Prav tako naredi odprte postavke vidne vsakomur, ki podpiše, namesto da bi bile zakopane v pilotnem poročilu.

Prva vrata: pot mora prenašati UDP

WireGuard prenaša svoj promet po UDP in dokumentira, da ne ponuja načina TCP ali zakrivanja prometa. Zasnova, ki se zanaša na to, da bo videti kot običajen spletni promet, ali na spremembo vrat za vedenje TCP, stoji na predpostavki, ki je programska oprema ne podpira.

Prva vrata so torej pregled, ne preizkus na enem stroju. Naštejte dostopna okolja, v katerih vaši uporabniki resnično delajo, nato v vsakem preverite odobreno pot UDP in se odločite, kaj se zgodi, ko ni na voljo.

Povezava, ki deluje iz pisarne, ne dokaže ničesar o hotelskem omrežju, požarnem zidu kampusa ali mobilnem operaterju, ki obravnava UDP drugače. Prav ta okolja so razlog, da namestitve oddaljenega dostopa po uspešnem pilotu propadejo. Pilot ni bil napačen; bil je ozek. Njegova razširitev so vrata.

Zapišite tudi rezervno pot. Če je odgovor, da rezervne poti ni, je to odločitev, ki jo velja izreči vnaprej, namesto da jo odkrijete na službenem potovanju.

Druga vrata: nekdo mora imeti ključe

Sotoki WireGuard se preverjajo s ključi, en par na udeleženca. To je enostavno opisati in operativno zahtevno, ker nič v protokolu ne vpiše naprave, ne sledi, kdo ima kateri ključ, in ne odvzame dostopa, ko se prenosnik izgubi. Protokol predpostavlja, da so ključi že pravilni, in pravilnost je neko delo.

Poimenujte osebo, ki vpiše napravo, zapis, ki javni ključ poveže z osebo in napravo, in postopek odvzema. Če je odvzem odvisen od spomina, kam so bile nameščene kopije konfiguracijske datoteke, postopek ni dokončan.

Med pilotom izberite eno napravo in jo upokojite od začetka do konca. Ta vaja da bolj koristne informacije kot še en preizkus povezljivosti, ker razkrije vrzeli v vaših evidencah.

Tretja vrata: paket potrebuje vzdrževalca

WireGuard lahko pride kot izvedba v jedru, kot distribucijski paket ali kot odjemalec v uporabniškem prostoru in vsak ima svojo pot posodabljanja. Operativno vprašanje je, katero izvajate, od kod prihaja in kdo uporabi varnostni bilten.

Uporabljamo WireGuard ni popis. Ne opredeli paketa za popravek, različice na prehodu ali osebe, ki lahko povrne slabo posodobitev.

Četrta vrata: sprejmite obremenitev, ne rokovanja

Sprejemna merila bi morala opisovati, kaj počnejo uporabniki. Doseči notranjo aplikacijo, razrešiti njeno zasebno ime, biti zavrnjen na nepooblaščenem cilju in slediti opredeljenemu vedenju, ko tunel pade, so vsi opazljivi, in uspešno rokovanje ni nobeno od tega.

Te preizkuse izpeljite skozi spremembo omrežja, ponovni zagon naprave in vzdrževalno okno prehoda, ker se namestitve lomijo prav na teh prehodih.

Dokaze hranite ob merilih, vključno s krajevnim stanjem, ki jih je ustvarilo:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Zelen preizkus v mirnem omrežju z enim prenosnikom je začetno opažanje. To ni trditev o zanesljivosti in obravnavanje kot take je pot, po kateri zasnova, ki deluje, postane zasnova, ki se ji zaupa.