WireGuard

Что такое WireGuard?

WireGuard® — чрезвычайно простой, но при этом быстрый и современный VPN, использующий криптографию state-of-the-art. По заявлению авторов, он стремится быть «быстрее, проще, легче и полезнее, чем IPsec», и «значительно производительнее OpenVPN». WireGuard разрабатывается как VPN общего назначения, пригодный для работы как на встраиваемых интерфейсах, так и на суперкомпьютерах.

Изначально выпущен для ядра Linux, теперь работает кросс-платформенно: Windows, macOS, BSD, iOS, Android. Проект продолжает активно развиваться. По формулировке авторов, WireGuard уже сейчас может рассматриваться как «one of the most secure, easiest to use, and simplest VPN solution in the industry».

Ключевые принципы

• Simple & Easy-to-use. Конфигурация по простоте сравнима с SSH — стороны обмениваются публичными ключами, остальное обрабатывается прозрачно. Поддерживается роуминг между IP-адресами (как Mosh).
• Cryptographically Sound. Используются Noise protocol framework, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF и проверенные конструкции. Решения консервативны и пересмотрены криптографами.
• Minimal Attack Surface. Спроектирован как простой в реализации и легко аудируемый: код реализуется в очень небольшом числе строк и пересматривается отдельными людьми, в отличие от *Swan/IPsec и OpenVPN/OpenSSL.
• High Performance. Сочетание высокоскоростных криптопримитивов и работа внутри ядра Linux позволяют достичь высокой скорости. Подходит и для смартфонов, и для backbone-роутеров.
• Well Defined & Thoroughly Considered. За проектом стоит длительный академический процесс и опубликованный технический whitepaper.

Cryptokey Routing

В основе WireGuard лежит концепция Cryptokey Routing: с каждым публичным ключом ассоциируется список разрешённых IP-адресов. У каждого интерфейса — приватный ключ и список пиров. Каждый пир имеет публичный ключ. Ключи короткие, простые и используются для взаимной аутентификации сторон. При отправке пакетов список allowed IPs работает как таблица маршрутизации, при приёме — как ACL.

Built-in Roaming

WireGuard поддерживает полный IP-роуминг на обоих концах: сервер определяет endpoint клиента по тому, откуда пришли корректно расшифрованные данные. Если сервер сам сменит свой endpoint и отправит данные клиенту, клиент это обнаружит и обновит конфигурацию аналогично.

Ready for Containers

Интерфейс WireGuard отправляет и принимает зашифрованные пакеты в том network namespace, в котором был изначально создан. Можно создать интерфейс в основном namespace с доступом к интернету и переместить его внутрь Docker-контейнера как единственный сетевой интерфейс — это гарантирует, что контейнер выйдет в сеть только через защищённый WireGuard-туннель.

Работа протокола

WireGuard инкапсулирует IP-пакеты в UDP. Добавляется WireGuard-интерфейс, конфигурируется приватным ключом и публичными ключами пиров, после чего через него можно отправлять пакеты. Управление распределением ключей и доставкой конфигураций намеренно оставлено вне области WireGuard — это работа более высоких слоёв (по образу SSH и Mosh).

Кто стоит за проектом

Автор и держатель прав на «WireGuard» и логотип — Jason A. Donenfeld. Проект ведётся от ZX2C4 и Edge Security — фирмы, специализирующейся на исследовательской экспертизе в информационной безопасности. © 2015–2022 Jason A. Donenfeld. Все права защищены.