A është WireGuard gati për prodhim? Përgjigjja nuk është protokolli

Njerëzit pyesin nëse WireGuard është gati për prodhim, gjë që tingëllon si pyetje për kriptografinë dhe në fakt është pyetje për mjedisin tuaj. Protokolli është shqyrtuar për vite; vendosja ende duhet të përgjigjet nëse rrjetet tuaja mbajnë transportin e tij, kush regjistron dhe tërheq pajisjet dhe kush rregullon paketën në të dy skajet. Këto përgjigje ndryshojnë mes dy serverëve në një raft dhe një mijë laptopëve. Protokolli është i njëjtë në të dy rastet; operacionet jo.

Pyetja pas pyetjes

Ajo që njerëzit zakonisht duan të dinë është nëse mund të angazhohen në një dizajn që nuk do t'i turpërojë pas gjashtë muajsh. Është pyetje vendosjeje me katër pjesë, dhe secila pjesë mund të dështojë pavarësisht nga të tjerat. Përgjigjet e mira për tri prej tyre nuk e kompensojnë të katërtën.

Një paralajmërim i vjetër për një pamje para lëshimit është fakt për atë pamje, jo etiketë e përhershme në çdo paketë të mëvonshme. Po ashtu, asnjë postim në blog nuk mund të shpallë gati kombinimin tuaj konkret të kernelit, klientit, rrjetit dhe stafit. Puna është ta bësh kombinimin të qartë dhe ta kontrollosh.

Trajto gatishmërinë si një grup portash që ose i kalon ose i regjistron si të hapura. Kjo e kthen një debat në një listë kontrolli me përgjegjës. Gjithashtu i bën pikat e hapura të dukshme për këdo që miraton, në vend që të varrosen në një raport piloti.

Porta e parë: rruga duhet të mbajë UDP

WireGuard e mbart trafikun e tij mbi UDP dhe dokumenton se nuk ofron modalitet TCP ose errësim trafiku. Një dizajn që varet nga fakti se do të duket si trafik i zakonshëm web, ose nga ndryshimi i portit për të marrë sjellje TCP, bazohet në një supozim që softueri nuk e mbështet.

Prandaj porta e parë është një vrojtim, jo një test në një makinë të vetme. Listo mjediset e aksesit në të cilat përdoruesit tuaj vërtet punojnë, pastaj verifiko rrugën e miratuar UDP në secilin dhe vendos çfarë ndodh kur ajo nuk është e disponueshme.

Një lidhje që punon nga zyra nuk provon asgjë për një rrjet hoteli, një firewall kampusi ose një operator celular që trajton UDP ndryshe. Janë pikërisht këto mjedise arsyeja pse vendosjet e aksesit në distancë dështojnë pas një piloti të suksesshëm. Piloti nuk ishte i gabuar; ishte i ngushtë. Zgjerimi i tij është porta.

Shkruaj edhe rrugën alternative. Nëse përgjigjja është se nuk ka rrugë alternative, ky është një vendim që ia vlen të deklarohet paraprakisht, në vend që të zbulohet gjatë një udhëtimi pune.

Porta e dytë: dikush duhet t'i zotërojë çelësat

Palët e WireGuard vërtetohen me çelësa, një çift për pjesëmarrës. Kjo është e lehtë për t'u përshkruar dhe kërkuese në operim, sepse asgjë në protokoll nuk regjistron një pajisje, nuk gjurmon kush mban cilin çelës dhe nuk heq aksesin kur humbet një laptop. Protokolli supozon se çelësat janë tashmë të saktë, dhe saktësia është puna e dikujt.

Emërto personin që regjistron një pajisje, regjistrin që lidh një çelës publik me një person dhe një pajisje, dhe procedurën e heqjes. Nëse heqja varet nga kujtimi se ku u instaluan kopje të një skedari konfigurimi, procedura nuk është përfunduar.

Zgjidh një pajisje gjatë pilotit dhe tërhiqe nga fillimi në fund. Ky ushtrim prodhon informacion më të dobishëm se një test tjetër lidhshmërie, sepse zbulon boshllëqet në regjistrat e tu.

Porta e tretë: paketa ka nevojë për një mirëmbajtës

WireGuard mund të vijë si implementim në kernel, si paketë shpërndarjeje ose si klient në hapësirën e përdoruesit, dhe secili ka rrugën e vet të përditësimit. Pyetja operative është cilin ekzekutoni, nga ka ardhur dhe kush zbaton një buletin sigurie.

Ne përdorim WireGuard nuk është inventar. Nuk identifikon paketën për t'u rregulluar, versionin në portë ose personin që mund të kthejë një përditësim të keq.

Porta e katërt: prano ngarkesën e punës, jo shtrëngimin e duarve

Kriteret e pranimit duhet të përshkruajnë atë që bëjnë përdoruesit. Arritja në një aplikacion të brendshëm, zgjidhja e emrit të tij privat, refuzimi në një destinacion të paautorizuar dhe ndjekja e sjelljes së përcaktuar kur tuneli është jashtë janë të gjitha të vëzhgueshme, dhe një shtrëngim duarsh i suksesshëm nuk është asnjë prej tyre.

Kalo këto kontrolle përmes një ndryshimi rrjeti, një rindezjeje pajisjeje dhe një dritareje mirëmbajtjeje të portës, sepse pikërisht në këto kalime thyhen vendosjet.

Mbaji provat pranë kritereve, përfshirë gjendjen lokale që i prodhoi:

wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1

Një test i gjelbër në një rrjet të qetë me një laptop është vëzhgim fillestar. Nuk është pohim për besueshmërinë, dhe trajtimi si i tillë është mënyra se si një dizajn që punon bëhet një dizajn që i besohet.