WireGuard ishlab chiqarishga tayyormi? Javob protokolda emas
Tayyorlik UDP yo'liga, kalitlar egaligiga va paketga xizmat ko'rsatishga bog'liq, qo'l berishga emas. To'rt darvoza joylashtirishingiz haqiqatan tayyor yoki yo'qligini hal qiladi.
Odamlar WireGuard ishlab chiqarishga tayyormi deb so'rashadi, bu kriptografiya haqidagi savolga o'xshaydi, aslida esa muhitingiz haqidagi savol. Protokol yillar davomida ko'rib chiqilgan; joylashtirish hali ham javob berishi kerak: tarmoqlaringiz uning transportini olib boradimi, qurilmalarni kim ro'yxatga oladi va iste'foga chiqaradi, paketni ikki tomonda kim yamaydi. Bu javoblar bitta rackdagi ikki server va ming noutbuk o'rtasida farq qiladi. Protokol ikkala holatda ham bir xil; operatsiyalar emas.
Savol ortidagi savol
Odamlar odatda olti oydan keyin ularni sharmanda qilmaydigan dizaynga majburiyat olishlari mumkinmi-yo'qligini bilishni xohlaydi. Bu to'rt qismli joylashtirish savoli va har bir qism boshqalardan mustaqil ravishda muvaffaqiyatsiz bo'lishi mumkin. Uchtasiga yaxshi javob to'rtinchisini qoplamaydi.
Chiqarishdan oldingi snapshot haqidagi eski ogohlantirish o'sha snapshot haqidagi fakt, keyingi har bir paketdagi doimiy yorliq emas. Xuddi shunday, hech bir blog post sizning aniq yadro, mijoz, tarmoq va xodimlar kombinatsiyangizni tayyor deb e'lon qila olmaydi. Ish kombinatsiyani ochiq qilish va uni tekshirishdir.
Tayyorlikni siz o'tadigan yoki ochiq deb qayd etadigan darvozalar to'plami sifatida qabul qiling. Bu bahsni egalari bor tekshiruv ro'yxatiga aylantiradi. Shuningdek u ochiq bandlarni tasdiqlovchi har bir kishi uchun ko'rinadigan qiladi, pilot hisobotida ko'milib qolish o'rniga.
Birinchi darvoza: yo'l UDP olib yurishi kerak
WireGuard trafigini UDP orqali olib boradi va TCP rejimi yoki trafikni yashirishni taklif qilmasligini hujjatlashtiradi. Oddiy veb-trafikga o'xshashiga yoki TCP xatti-harakatini olish uchun portni almashtirishga tayanadigan dizayn dasturiy ta'minot qo'llab-quvvatlamaydigan taxminga asoslanadi.
Shuning uchun birinchi darvoza bitta mashinada sinov emas, tadqiqot. Foydalanuvchilaringiz haqiqatan ishlaydigan kirish muhitlarini sanab chiqing, so'ng har birida tasdiqlangan UDP yo'lini tekshiring va u mavjud bo'lmaganda nima bo'lishini hal qiling.
Ofisdan ishlaydigan aloqa mehmonxona tarmog'i, kampus xavfsizlik devori yoki UDP ni boshqacha boshqaradigan mobil operator haqida hech narsani isbotlamaydi. Aynan shu muhitlar muvaffaqiyatli pilotdan keyin masofaviy kirish joylashtirishlarining muvaffaqiyatsiz bo'lishiga sabab. Pilot xato emas edi; u tor edi. Uni kengaytirish darvoza.
Zaxira yo'lni ham yozing. Agar javob zaxira yo'l yo'q degani bo'lsa, bu ish safari paytida kashf qilishdan ko'ra oldindan e'lon qilishga arziydigan qaror.
Ikkinchi darvoza: kalitlar kimningdir egaligida bo'lishi kerak
WireGuard hamkasblari kalitlar bilan autentifikatsiya qiladi, har bir ishtirokchi uchun bir juft. Buni tasvirlash oson, operatsiyada talabchan, chunki protokolda hech narsa qurilmani ro'yxatga olmaydi, kim qaysi kalitni ushlab turishini kuzatmaydi yoki noutbuk yo'qolganda kirishni olib tashlamaydi. Protokol kalitlar allaqachon to'g'ri deb hisoblaydi, to'g'rilik esa birovning ishi.
Qurilmani ro'yxatga oluvchi shaxsni, ochiq kalitni shaxs va qurilma bilan bog'laydigan yozuvni va olib tashlash tartibini nomlang. Agar olib tashlash konfiguratsiya fayli nusxalari qayerga o'rnatilganini eslab qolishga bog'liq bo'lsa, tartib tugamagan.
Pilot davomida bitta qurilmani tanlang va uni boshidan oxirigacha iste'foga chiqaring. Bu mashq yana bir ulanish sinovidan ko'ra foydaliroq ma'lumot beradi, chunki yozuvlaringizdagi bo'shliqlarni ochib beradi.
Uchinchi darvoza: paketga xizmatchi kerak
WireGuard yadro ichidagi implementatsiya, distributiv paketi yoki foydalanuvchi maydonidagi mijoz sifatida kelishi mumkin va har birining o'z yangilash yo'li bor. Operatsion savol - qaysinisini ishga tushirasiz, u qayerdan keldi va xavfsizlik byulletenini kim qo'llaydi.
Biz WireGuard ishlatamiz bu inventar emas. U yamalanishi kerak bo'lgan paketni, shlyuzdagi versiyani yoki yomon yangilanishni qaytarib oladigan shaxsni ko'rsatmaydi.
To'rtinchi darvoza: ish yukini qabul qiling, qo'l berishni emas
Qabul mezonlari foydalanuvchilar nima qilishini tasvirlashi kerak. Ichki ilovaga yetish, uning shaxsiy nomini hal qilish, ruxsat etilmagan manzilda rad etilish va tunnel ishlamay qolganda belgilangan xatti-harakatga rioya qilish bularning barchasi kuzatiladi, muvaffaqiyatli qo'l berish esa ularning hech biri emas.
Bu tekshiruvlarni tarmoq o'zgarishi, qurilmani qayta ishga tushirish va shlyuzning texnik xizmat ko'rsatish oynasi orqali o'tkazing, chunki joylashtirishlar aynan shu o'tishlarda buziladi.
Dalillarni mezonlar yonida saqlang, ularni yaratgan mahalliy holat bilan birga:
wg show
ss -lunp | grep 51820
ip -4 route get 10.63.0.1
Bitta noutbuk bilan tinch tarmoqda yashil sinov bu boshlang'ich kuzatuv. Bu ishonchlilik haqidagi da'vo emas va unga shunday munosabatda bo'lish ishlaydigan dizaynni ishonchli dizaynga aylantiradigan yo'ldir.