👨🏼‍🌾 😽 🥡 आपको वायरगार्ड का उपयोग क्यों नहीं करना चाहिए ☺️ 🐨 🏟️

हाल ही में वायरगार्ड बहुत ध्यान आकर्षित करता है, वास्तव में - यह वीपीएन के बीच एक नया "स्टार" है। लेकिन क्या वह उतना ही अच्छा है जितना वह लगता है? मैं कुछ टिप्पणियों पर चर्चा करना चाहता हूं और यह समझाने के लिए वायरगार्ड के कार्यान्वयन पर विचार कर रहा हूं कि यह एक समाधान क्यों नहीं है जो आईपीसीईसी या ओपनवीपीएन की जगह लेगा।

इस लेख में, मैं कुछ मिथकों को छोड़ना चाहूंगा [वायरगार्ड के आसपास]। हां, इसे पढ़ने में लंबा समय लगेगा, इसलिए यदि आपने एक कप चाय या कॉफी नहीं बनाई है, तो यह करने का समय है। मैं भी अपने अराजक विचारों को फैलाने के लिए पीटर को धन्यवाद देना चाहूंगा।

मैंने अपने प्रयासों या विचारों को अवमूल्यन करने के लिए वायरगार्ड डेवलपर्स को बदनाम करने का लक्ष्य निर्धारित नहीं किया है। उनका उत्पाद एक काम कर रहा है, लेकिन मुझे व्यक्तिगत रूप से लगता है कि यह वास्तव में क्या है से पूरी तरह से अलग प्रस्तुत किया गया है - इसे आईपीसेक और ओपनवीपीएन के प्रतिस्थापन के रूप में प्रस्तुत किया गया है, जो वास्तव में अब बस अस्तित्व में नहीं है।

एक नोट के रूप में, मैं यह जोड़ना चाहता हूं कि वायरगार्ड की ऐसी स्थिति की जिम्मेदारी उस मीडिया के पास है जिसने इस बारे में बात की थी, न कि खुद प्रोजेक्ट या इसके निर्माता।

हाल ही में लिनक्स कर्नेल विषय पर बहुत अच्छी खबर नहीं आई है। इसलिए, हमें प्रोसेसर की राक्षसी कमजोरियों के बारे में बताया गया था, जो कि सॉफ्टवेयर द्वारा समतल किए गए थे, और लिनस टॉर्वाल्ड्स ने इसके बारे में बहुत असभ्य और उबाऊ, उपयोगितावादी भाषा डेवलपर के बारे में बात की थी। समयबद्धक या नेटवर्क स्टैक शून्य स्तर - भी चमकदार पत्रिकाओं के लिए बहुत स्पष्ट विषय नहीं हैं। और फिर वायरगार्ड दिखाई देता है।

सब कुछ कागज पर बहुत अच्छा लगता है: एक रोमांचक नई तकनीक।

लेकिन चलो उसे थोड़ा और ध्यान से देखें।

वायरगार्ड तकनीकी दस्तावेज

यह लेख जेसन डोनेफेल्ड द्वारा लिखित आधिकारिक वायरगार्ड प्रलेखन पर आधारित है । वहां वह लिनक्स कर्नेल में [वायरगार्ड] की अवधारणा, उद्देश्य और तकनीकी कार्यान्वयन की व्याख्या करता है।

पहला वाक्य पढ़ता है:

WireGuard [...] IPsec , / TLS, OpenVPN, , [].

बेशक, सभी नई प्रौद्योगिकियों का मुख्य लाभ उनकी सादगी है [अपने पूर्ववर्तियों की तुलना में]। लेकिन एक वीपीएन भी कुशल और सुरक्षित होना चाहिए ।

तो, आगे क्या है?

यदि आप कहते हैं कि आपको [वीपीएन से] इसकी आवश्यकता नहीं है, तो आप रीडिंग को समाप्त कर सकते हैं। हालाँकि, मैं देखूंगा कि इस तरह के कार्य किसी अन्य सुरंग प्रौद्योगिकी से पहले किए जाते हैं।

उपरोक्त उद्धरणों में से सबसे दिलचस्प "अधिकांश मामलों में" शब्दों में निहित है, जिसे निश्चित रूप से प्रेस द्वारा अनदेखा किया गया था। और यहाँ हम हैं, जहाँ हम इस लेख में - इस लापरवाही द्वारा बनाई गई अराजकता के कारण समाप्त हो गए।

क्या वायरगार्ड साइटों के बीच मेरे [IPsec] वीपीएन कनेक्शन को बदल देगा?

नहीं। बस कोई मौका नहीं है कि सिस्को, जुनिपर और अन्य जैसे बड़े विक्रेता अपने उत्पादों के लिए वायरगार्ड खरीद लेंगे। जब तक वे इसके लिए कुछ महान आवश्यकता नहीं हैं, वे चलते-फिरते "ट्रेनों को हॉप" नहीं करते हैं। बाद में मैं कुछ कारणों के बारे में बात करूंगा कि वे शायद वायरगार्ड उत्पादों को बोर्ड पर स्थापित करने में सक्षम नहीं होंगे, भले ही वे चाहते थे।

क्या वायरगार्ड मेरे रोडवेयर को लैपटॉप से डेटा सेंटर में स्थानांतरित करेगा?

नहीं। वायरगार्ड ने अभी बहुत बड़ी संख्या में महत्वपूर्ण कार्य कार्यान्वित नहीं किए हैं ताकि यह कुछ ऐसा कर सके। उदाहरण के लिए, यह सुरंग के सर्वर पक्ष पर गतिशील आईपी पते का उपयोग नहीं कर सकता है, और यह अकेले उत्पाद के समान उपयोग के पूरे परिदृश्य को तोड़ता है।

IPFire का उपयोग अक्सर कम लागत वाले इंटरनेट चैनलों जैसे DSL या केबल कनेक्शन के लिए किया जाता है। यह एक छोटे या मध्यम व्यवसाय के लिए समझ में आता है जिसे तेज फाइबर की आवश्यकता नहीं है।[अनुवादक से ध्यान दें: यह मत भूलो कि संचार के मामले में, रूस और कुछ सीआईएस देश यूरोप और यूएसए से बहुत आगे हैं, क्योंकि हमने अपने नेटवर्क का निर्माण बहुत बाद में शुरू किया था और मानक के रूप में ईथरनेट और फाइबर ऑप्टिक नेटवर्क के आगमन के साथ, हमारे लिए पुनर्निर्माण करना आसान था। समान यूरोपीय संघ के देशों या यूएसए में, 3-5 एमबीपीएस की गति से एक्सडीएसएल ब्रॉडबैंड एक्सेस अभी भी सार्वभौमिक मानक है, और फाइबर-ऑप्टिक कनेक्शन हमारे मानकों द्वारा कुछ अवास्तविक पैसे खर्च करता है। इसलिए, लेख के लेखक प्राचीन काल के बजाय सामान्य रूप से DSL या केबल कनेक्शन की बात करते हैं।] हालांकि, DSL, केबल, LTE (और अन्य वायरलेस एक्सेस विधियों) में गतिशील आईपी पते हैं। बेशक, कई बार वे अक्सर बदलते नहीं हैं, लेकिन फिर भी बदल जाते हैं। "Wg- डायनेमिक"

नामक एक सबप्रोजेक्ट हैइस कमी को दूर करने के लिए यूजर स्पेस डेमॉन जोड़ता है। ऊपर वर्णित उपयोगकर्ता परिदृश्य के साथ एक बड़ी समस्या गतिशील आईपीवी 6 एड्रेसिंग द्वारा स्थिति की वृद्धि है।

वितरक के दृष्टिकोण से, यह सब भी बहुत अच्छा नहीं लगता है। डिजाइन लक्ष्यों में से एक प्रोटोकॉल को सरल और साफ रखना था।

दुर्भाग्य से, यह सब वास्तव में बहुत सरल और आदिम हो गया, इसलिए हमें इस पूरे डिजाइन को वास्तविक जीवन की स्थितियों में व्यवहार्य बनाने के लिए अतिरिक्त सॉफ़्टवेयर का उपयोग करना होगा।

क्या वायरगार्ड का उपयोग करना इतना आसान है?

अभी नहीं। मैं यह नहीं कह रहा हूं कि वायरगार्ड कभी भी दो बिंदुओं के बीच एक सुरंग को आगे बढ़ाने के लिए एक अच्छा विकल्प नहीं होगा, लेकिन अभी तक यह उत्पाद का केवल एक अल्फा संस्करण है जो इसे बनना चाहिए।

लेकिन फिर वह वास्तव में क्या करता है? IPsec वास्तव में संचालित करने के लिए बहुत कठिन है?

बेशक नहीं। IPsec प्रदाता ने इस बिंदु पर विचार किया है और अपने उत्पाद को IPFire जैसे इंटरफ़ेस के साथ वितरित कर रहा है।

IPsec के माध्यम से एक वीपीएन सुरंग को कॉन्फ़िगर करने के लिए, आपको पांच सेट डेटा की आवश्यकता होगी जिसे आपको कॉन्फ़िगरेशन में दर्ज करने की आवश्यकता होगी: आपका अपना सार्वजनिक आईपी पता, प्राप्तकर्ता पक्ष का सार्वजनिक आईपी पता, सबनेट जो आप इस वीपीएन कनेक्शन और प्री-शेयर्ड के माध्यम से सार्वजनिक करना चाहते हैं चाभी। इस प्रकार, वीपीएन कुछ मिनटों में कॉन्फ़िगर किया गया है और यह किसी भी विक्रेता के साथ संगत है।

दुर्भाग्य से, इस कहानी के कुछ अपवाद हैं। हर कोई जो ओपनबीएसडी पर एक मशीन के लिए IPsec के माध्यम से वीपीएन सुरंग को आगे बढ़ाने की कोशिश करता है वह समझता है कि मैं किस बारे में बात कर रहा हूं। कुछ और दर्दनाक उदाहरण हैं, लेकिन वास्तव में, IPsec का उपयोग करने का अच्छा अभ्यास बहुत अधिक है।

प्रोटोकॉल जटिलता के बारे में

अंतिम उपयोगकर्ता को प्रोटोकॉल की जटिलता के बारे में चिंता करने की आवश्यकता नहीं है।

यदि हम एक ऐसी दुनिया में रहते हैं जहां यह उपयोगकर्ता की वास्तविक चिंता थी, तो हम बहुत पहले ही एसआईपी, एच .323, एफ़टीपी और अन्य प्रोटोकॉल से छुटकारा पा चुके हैं जो दस साल से अधिक समय पहले बनाए गए थे जो एनएटी के साथ अच्छी तरह से काम नहीं करते हैं।

ऐसे कारण हैं कि IPsec वायरगार्ड की तुलना में अधिक जटिल है: यह बहुत अधिक करता है। उदाहरण के लिए, ईएपी के साथ लॉगिन / पासवर्ड या सिम कार्ड का उपयोग करके उपयोगकर्ता प्रमाणीकरण। इसमें नई क्रिप्टोग्राफिक प्रिमिटिव जोड़ने की विस्तारित क्षमता है ।

लेकिन वायरगार्ड नहीं करता है।

और इसका मतलब यह है कि वायरगार्ड किसी बिंदु पर टूट जाएगा, क्योंकि क्रिप्टोग्राफिक प्राइमरी में से एक कमजोर हो जाएगा या पूरी तरह से समझौता किया जाएगा। तकनीकी दस्तावेज के लेखक यह कहते हैं:

यह ध्यान देने योग्य है कि वायरगार्ड क्रिप्टोग्राफिक रूप से आत्मविश्वासी है। वह जानबूझकर सिफर और प्रोटोकॉल के लचीलेपन का अभाव है। यदि अंतर्निहित प्राथमिकताओं में गंभीर छेद पाए जाते हैं, तो सभी समापन बिंदुओं को अद्यतन करने की आवश्यकता होगी। जैसा कि आप SLL / TLS कमजोरियों की चल रही धारा से देख सकते हैं, एन्क्रिप्शन लचीलापन अब बहुत बढ़ गया है।

अंतिम वाक्य बिलकुल सत्य है।

बिल्डिंग सर्वसम्मति जिस पर उपयोग करने के लिए एन्क्रिप्शन IKE और TLS जैसे प्रोटोकॉल को और अधिक जटिल बनाता है । बहुत जटिल? हां, टीएलएस / एसएसएल में कमजोरियां काफी सामान्य हैं, और उनके लिए कोई विकल्प नहीं है।

असली मुद्दों की अनदेखी के बारे में

कल्पना कीजिए कि आपके पास 200 लड़ाकू ग्राहकों के साथ एक वीपीएन सर्वर है, जो दुनिया भर में कहीं है। यह एक बहुत ही मानक उपयोग मामला है। यदि आपको एन्क्रिप्शन को बदलना है, तो आपको इन लैपटॉप, स्मार्टफ़ोन आदि पर वायरगार्ड की सभी प्रतियों में अपडेट देने की आवश्यकता है। एक ही समय में वितरित करें। यह सचमुच असंभव है। जो प्रशासक ऐसा करने की कोशिश करते हैं, उन्हें आवश्यक कॉन्फ़िगरेशन को तैनात करने में महीनों लग जाएंगे, और मध्यम आकार की कंपनियों को इस तरह की घटना की मेजबानी करने में सचमुच साल लगेगा।

IPsec और OpenVPN सिफर बातचीत प्रदान करते हैं। इसलिए, कुछ समय बाद आप नए एन्क्रिप्शन को सक्षम करते हैं, पुराना काम करेगा। इसके लिए धन्यवाद, वर्तमान ग्राहक नए संस्करण में अपग्रेड करने में सक्षम होंगे। अपडेट रोल आउट होने के बाद, आप बस असुरक्षित एन्क्रिप्शन बंद कर देते हैं। और बस यही! किया हुआ! तुम खूबसूरत हो! और ग्राहक इसे नोटिस भी नहीं करेंगे।

यह वास्तव में बड़ी तैनाती के लिए एक बहुत ही सामान्य मामला है, और यहां तक कि OpenVPN में कुछ कठिनाइयां हैं। पिछड़ी संगतता महत्वपूर्ण है, और यद्यपि आप कमजोर एन्क्रिप्शन का उपयोग करते हैं, कई के लिए यह व्यवसाय बंद होने का कारण नहीं है। क्योंकि यह उनके काम करने में असमर्थता के कारण सैकड़ों ग्राहकों के पक्षाघात को जन्म देगा।

वायरगार्ड टीम ने अपने प्रोटोकॉल को सरल बना दिया है, लेकिन उन लोगों के लिए पूरी तरह से अनुपयुक्त है जो अपनी सुरंग के दोनों साथियों पर लगातार नियंत्रण नहीं रखते हैं। मेरे अनुभव में, यह सबसे आम परिदृश्य है।

क्रिप्टोग्राफी!

लेकिन यह दिलचस्प नया एन्क्रिप्शन क्या है जो वायरगार्ड उपयोग करता है?

वायरगार्ड कुंजी प्रमाणीकरण के लिए करवे 2525, एन्क्रिप्शन के लिए चाउच 20 और डेटा प्रमाणीकरण के लिए Poly1305 का उपयोग करता है। यह हैश कीज़ के लिए SipHash और हैशिंग के लिए BLAKE2 के साथ भी काम करता है।

ChaCha20-Poly1305 IPsec और OpenVPN (TLS के माध्यम से) के लिए मानकीकृत है।

जाहिर है, डैनियल बर्नस्टीन के विकास का उपयोग अक्सर किया जाता है। BLAKE2, BLAKE का उत्तराधिकारी है, SHA-3 फाइनलिस्ट, जो SHA-2 के सदृश होने के कारण नहीं जीता। यदि SHA-2 को हैक किया गया था, तो इस बात की बहुत अधिक संभावना थी कि BLAKE से समझौता किया जाएगा।

IPsec और OpenVPN को उनके डिज़ाइन के कारण SipHash की आवश्यकता नहीं है। इस प्रकार, केवल एक चीज जो उनके साथ उपयोग नहीं की जा सकती है वह है BLAKE2, और केवल जब तक इसे मानकीकृत नहीं किया जाता है। यह एक बड़ी कमी नहीं है, क्योंकि वीपीएन अखंडता बनाने के लिए एचएमएसी का उपयोग करते हैं, जिसे एमडी 5 के संयोजन में भी एक मजबूत समाधान माना जाता है।

इसलिए मैं इस निष्कर्ष पर पहुंचा कि सभी वीपीएन क्रिप्टोग्राफिक टूल के लगभग एक ही सेट का उपयोग करते हैं। इसलिए, एन्क्रिप्शन या डेटा अखंडता की बात आते ही वायरगार्ड किसी भी अन्य संबंधित उत्पादों की तुलना में अधिक सुरक्षित नहीं है।

लेकिन यहां तक कि यह सबसे महत्वपूर्ण बात नहीं है कि आपको परियोजना के आधिकारिक दस्तावेज के अनुसार ध्यान देना चाहिए। आखिरकार, मुख्य चीज गति है।

क्या वायरगार्ड अन्य वीपीएन समाधानों की तुलना में तेज है?

संक्षेप में: नहीं, तेज नहीं।

ChaCha20 एक स्ट्रीम सिफर है जिसे सॉफ्टवेयर में लागू करना आसान है। यह एक बार में एक बिट को एन्क्रिप्ट करता है। ब्लॉक प्रोटोकॉल, जैसे एईएस, एक बार में ब्लॉक 128 बिट्स को एन्क्रिप्ट करते हैं। हार्डवेयर समर्थन को लागू करने के लिए, बहुत अधिक ट्रांजिस्टर की आवश्यकता होगी, इसलिए बड़े प्रोसेसर एईएस-एनआई के साथ आते हैं, अनुदेश सेट का एक विस्तार जो इसे गति देने के लिए एन्क्रिप्शन प्रक्रिया के कुछ कार्य करता है।

यह उम्मीद की गई थी कि एईएस-एनआई कभी भी स्मार्टफोन को हिट नहीं करेगा [और यह हिट, - लगभग। ट्रांस।]। इसके लिए, ChaCha20 को विकसित किया गया था - एक आसान और किफायती विकल्प के रूप में जो बैटरी पावर बचाता है। इसलिए, आपके लिए यह खबर हो सकती है कि आज खरीदे जाने वाले प्रत्येक स्मार्टफोन में AES के लिए एक या एक और त्वरण है और इस एन्क्रिप्शन के साथ तेजी से और कम बिजली की खपत के साथ ChaCha20 के साथ काम करता है।

जाहिर है, पिछले कुछ वर्षों में खरीदे गए लगभग हर डेस्कटॉप / सर्वर प्रोसेसर में एईएस-एनआई है।

इसलिए, मुझे उम्मीद है कि AES हर एक परिदृश्य में ChaCha20 से आगे निकल जाएगा। आधिकारिक वायरगार्ड प्रलेखन में उल्लेख किया गया है कि AVX512 के लिए धन्यवाद, ChaCha20-Poly1305 एईएस-एनआई को मात देगा, लेकिन यह कमांड सेट एक्सटेंशन केवल बड़े प्रोसेसर पर उपलब्ध होगा, जो फिर से छोटे और अधिक मोबाइल उपकरणों के साथ मदद नहीं करेगा जो हमेशा एईएस के साथ तेजी से काम करेंगे। एनआई।

मुझे यकीन नहीं है कि अगर वायरगार्ड के विकास के दौरान इसे आगे बढ़ाया जा सकता है, लेकिन आज यह तथ्य कि यह एक एन्क्रिप्शन के लिए है, पहले से ही एक दोष है जो इसके काम को बहुत अच्छी तरह से प्रभावित नहीं कर सकता है।

IPsec आपको स्वतंत्र रूप से यह चुनने की अनुमति देता है कि आपके एप्लिकेशन के लिए कौन सा एन्क्रिप्शन सबसे अच्छा है। और हां, यह आवश्यक है यदि, उदाहरण के लिए, आप वीपीएन कनेक्शन के माध्यम से 10 या अधिक गीगाबाइट डेटा स्थानांतरित करना चाहते हैं।

लिनक्स एकीकरण मुद्दों

हालांकि वायरगार्ड ने एक आधुनिक एन्क्रिप्शन प्रोटोकॉल चुना है, लेकिन यह पहले से ही बहुत सारी समस्याएं पैदा कर रहा है। और इसलिए, बॉक्स के बाहर कर्नेल द्वारा समर्थित क्या उपयोग करने के बजाय, लिनक्स में इन प्राइमिटिव्स की कमी के कारण वायरगार्ड एकीकरण को वर्षों के लिए विलंबित किया गया है।

मुझे अन्य ऑपरेटिंग सिस्टम की स्थिति के बारे में पूरी तरह से जानकारी नहीं है, लेकिन शायद यह लिनक्स के साथ स्थिति से बहुत अलग नहीं है।

वास्तविकता क्या दिखती है?

दुर्भाग्य से, हर बार जब कोई ग्राहक मुझसे उसके लिए वीपीएन कनेक्शन स्थापित करने के लिए कहता है, तो मैं इस विषय पर आता हूं कि वे पुराने क्रेडेंशियल और एन्क्रिप्शन का उपयोग करते हैं। MD5 के साथ संयोजन में 3DES अभी भी एक सामान्य अभ्यास है, जैसा कि AES-256 और SHA1 हैं। और यद्यपि उत्तरार्द्ध थोड़ा बेहतर है - यह ऐसा कुछ नहीं है जिसका उपयोग 2020 में किया जाना चाहिए।

कुंजी विनिमय के लिए , आरएसए का हमेशा उपयोग किया जाता है - एक धीमी लेकिन काफी सुरक्षित उपकरण।

मेरे ग्राहक सीमा शुल्क अधिकारियों और अन्य राज्य संगठनों और संस्थानों के साथ-साथ बड़े निगमों से जुड़े हैं, जिनके नाम पूरी दुनिया में जाने जाते हैं। वे सभी दशकों पहले बनाए गए एक अनुरोध फॉर्म का उपयोग करते हैं, और SHA-512 का उपयोग करने की क्षमता बस कभी नहीं जोड़ी गई थी। मैं यह नहीं कह सकता कि यह किसी भी तरह से तकनीकी प्रगति को स्पष्ट रूप से प्रभावित करता है, लेकिन जाहिर है कि यह कॉर्पोरेट प्रक्रिया को धीमा कर देता है।

यह देखने के लिए मुझे दुख होता है, क्योंकि IPsec ने वर्ष 2005 के बाद से वक्र से अण्डाकार वक्रों का समर्थन किया है। Curve25519 भी नया और अधिक सुलभ है। अभी भी एईएस के लिए विकल्प हैं, जैसे कि कैमेलिया और चाचा 20, लेकिन, जाहिर है, उनमें से सभी को सिस्को और अन्य जैसे बड़े आपूर्तिकर्ताओं द्वारा समर्थित नहीं किया गया है।

और लोग इसका उपयोग करते हैं। कई सिस्को किट हैं; सिस्को के साथ काम करने के लिए डिज़ाइन किए गए कई किट हैं। वे इस सेगमेंट में मार्केट लीडर हैं और किसी भी नवाचार में बहुत रुचि नहीं रखते हैं।

हां, [कॉरपोरेट सेगमेंट में] स्थिति भयानक है, लेकिन हमें वायरगार्ड के कारण कोई बदलाव नहीं दिखेगा। निर्माताओं को पहले से ही उपयोग में आने वाले उपकरणों और एन्क्रिप्शन के साथ किसी भी प्रदर्शन के मुद्दों की पहचान करने की संभावना नहीं है, वे IKEv2 का उपयोग करके कोई समस्या नहीं देखेंगे - और इसलिए वे विकल्पों की तलाश नहीं कर रहे हैं।

सामान्य तौर पर, क्या आपने कभी सिस्को को छोड़ने के बारे में सोचा है?

मानक

अब वायरगार्ड प्रलेखन से मानदंड पर चलते हैं। हालांकि यह [प्रलेखन] एक वैज्ञानिक लेख नहीं है, फिर भी मुझे उम्मीद थी कि डेवलपर्स एक अधिक वैज्ञानिक दृष्टिकोण ले सकते हैं, या एक संदर्भ के रूप में एक वैज्ञानिक दृष्टिकोण का उपयोग कर सकते हैं। कोई भी मानदंड बेकार हैं यदि उन्हें पुन: पेश नहीं किया जा सकता है, और इससे भी अधिक वे प्रयोगशाला में प्राप्त होने पर बेकार हैं।

लिनक्स के लिए वायरगार्ड बिल्ड में, वह जीएसओ - जेनेरिक सेग्मेंटेशन ऑफलोडिंग का लाभ उठाता है। उसके लिए धन्यवाद, क्लाइंट आकार में 64 किलोबाइट का एक विशाल पैकेट बनाता है और एक दृष्टिकोण में इसे एन्क्रिप्ट / डिक्रिप्ट करता है। इस प्रकार, क्रिप्टोग्राफिक संचालन को कॉल करने और लागू करने की लागत कम हो जाती है। यदि आप अपने वीपीएन कनेक्शन की बैंडविड्थ को अधिकतम करना चाहते हैं, तो यह एक अच्छा विचार है।

लेकिन, हमेशा की तरह, वास्तव में यह इतना सरल नहीं है। एक बड़े पैकेट को नेटवर्क एडेप्टर में भेजने के लिए यह आवश्यक है कि इसे कई छोटे पैकेटों में डाला जाए। ठेठ भेजने का आकार 1,500 बाइट्स है। यही है, हमारे विशाल 64 किलोबाइट को 45 पैकेट (सूचना के 1240 बाइट्स और आईपी-हेडर के 20 बाइट्स) में विभाजित किया जाएगा। फिर, थोड़ी देर के लिए, वे नेटवर्क एडेप्टर के संचालन को पूरी तरह से रोकते हैं, क्योंकि उन्हें एक साथ और तुरंत भेजा जाना चाहिए। नतीजतन, यह प्राथमिकता में कूद जाएगा, और पैकेट जैसे कि, उदाहरण के लिए, वीओआईपी को कतारबद्ध किया जाएगा।

इस प्रकार, उच्च थ्रूपुट, जो वायरगार्ड इतने साहसपूर्वक दावा करता है, अन्य अनुप्रयोगों के नेटवर्क संचालन को धीमा करके प्राप्त किया जाता है। और वायरगार्ड टीम ने मेरा यह निष्कर्ष पहले ही पुष्टि कर दिया है।

लेकिन चलो आगे बढ़ते हैं।

तकनीकी दस्तावेज में मानदंड के अनुसार, कनेक्शन 1011 Mbit / s की बैंडविड्थ दिखाता है।

प्रभावशाली।

यह विशेष रूप से प्रभावशाली है क्योंकि एक गीगाबिट ईथरनेट कनेक्शन का अधिकतम सैद्धांतिक बैंडविड्थ 1,500 बाइट्स के एक पैकेट के आकार के साथ 966 Mbit / s है, प्रति आईपी हेडर प्रति मिनट 20 बाइट्स, यूडीपी हेडर प्रति 8 बाइट्स और प्रति वायर 16 बाइट्स। । एन्कैप्सुलेटेड पैकेट में एक और आईपी हेडर है और दूसरा 20 बाइट टीसीपी में है। तो यह अतिरिक्त बैंडविड्थ कहां से आया?

जीएसओ के विशाल फ्रेम और फायदों के साथ, जिसके बारे में हमने ऊपर बात की, सैद्धांतिक अधिकतम 9000 बाइट्स के फ्रेम का आकार 1014 Mbit / s होगा। आमतौर पर, ऐसा थ्रूपुट वास्तविकता में अप्राप्य है, क्योंकि यह बड़ी कठिनाइयों से जुड़ा हुआ है। इस प्रकार, मैं केवल यह मान सकता हूं कि परीक्षण को और भी अधिक बोल्ड फ्रेम का उपयोग करके प्रदर्शन किया गया था जो कि अधिकतम 1023 Mbit / s के सैद्धांतिक अधिकतम 64 किलोबाइट के आकार से अधिक था, जो केवल कुछ नेटवर्क एडेप्टर द्वारा समर्थित है। लेकिन यह वास्तविक स्थितियों में बिल्कुल लागू नहीं है, या इसका उपयोग केवल दो स्टेशनों के बीच सीधे एक दूसरे से जुड़े होने के बीच किया जा सकता है, विशेष रूप से परीक्षण स्टैंड के भीतर।

लेकिन चूंकि वीपीएन सुरंग को इंटरनेट कनेक्शन का उपयोग करने वाले दो मेजबानों के बीच भेजा जाता है जो बड़े फ्रेम का समर्थन नहीं करता है, इसलिए स्टैंड पर प्राप्त परिणाम को मानक के रूप में नहीं लिया जा सकता है। यह केवल एक अवास्तविक प्रयोगशाला उपलब्धि है, जो वास्तविक युद्ध स्थितियों में असंभव और लागू नहीं है।

यहां तक कि डेटा सेंटर में बैठकर, मैं 9000 बाइट्स से बड़े फ्रेम ट्रांसफर नहीं कर पाऊंगा।

वास्तविक जीवन में प्रयोज्यता की कसौटी पूरी तरह से उल्लंघन है और, जैसा कि मुझे लगता है, "माप" के लेखक ने गंभीरता से स्पष्ट कारणों के लिए खुद को बदनाम कर दिया।

उम्मीद की आखिरी झलक

वायरगार्ड वेबसाइट कंटेनरों के बारे में बहुत कुछ बताती है और यह स्पष्ट हो जाता है कि यह वास्तव में किसका उद्देश्य है।

एक सरल और तेज़ वीपीएन जिसे कॉन्फ़िगरेशन की आवश्यकता नहीं होती है और बड़े पैमाने पर ऑर्केस्ट्रेशन टूल के साथ तैनात और कॉन्फ़िगर किया जा सकता है, जैसे कि उनके क्लाउड में अमेज़ॅन। विशेष रूप से, अमेज़ॅन नवीनतम हार्डवेयर विशेषताओं का उपयोग करता है जो मैंने पहले उल्लेख किया था, उदाहरण के लिए - AVX512। यह कार्य को गति देने के लिए किया जाता है और इसे x86 या किसी अन्य वास्तुकला से नहीं जोड़ा जाता है।

वे बैंडविड्थ और पैकेटों का अनुकूलन करते हैं, जिनका आकार 9000 बाइट्स से अधिक है - इसके परिणामस्वरूप कंटेनरों को एक दूसरे के साथ संचार करने के लिए, या बैकअप संचालन के लिए, स्नैपशॉट बनाने या इन कंटेनरों को तैनात करने के लिए विशाल अछूता फ़्रेम मिलेगा। यहां तक कि डायनेमिक आईपी पते भी वर्णित परिदृश्य के मामले में वायरगार्ड के संचालन को प्रभावित नहीं करेंगे।

बुरा नहीं खेला। शानदार कार्यान्वयन और एक बहुत ही पतली, लगभग संदर्भ प्रोटोकॉल।

लेकिन यह सिर्फ आपके द्वारा पूरी तरह से नियंत्रित किए गए डेटा सेंटर के बाहर की दुनिया के लिए उपयुक्त नहीं है। यदि आप जोखिम लेते हैं और वायरगार्ड का उपयोग करना शुरू करते हैं, तो आपको एन्क्रिप्शन प्रोटोकॉल के विकास और कार्यान्वयन में निरंतर समझौता करना होगा।

निष्कर्ष

मेरे लिए यह निष्कर्ष निकालना आसान है कि वायरगार्ड अभी तैयार नहीं है।

यह मौजूदा हल के साथ समस्याओं के एक हल्के और त्वरित समाधान के रूप में कल्पना की गई थी। दुर्भाग्य से, इन समाधानों के लिए, उन्होंने कई विशेषताओं का त्याग किया जो अधिकांश उपयोगकर्ताओं के लिए प्रासंगिक होंगे। इसीलिए यह IPsec या OpenVPN को प्रतिस्थापित नहीं कर सकता है।

वायरगार्ड को प्रतिस्पर्धी बनने के लिए, इसमें कम से कम आईपी एड्रेस कॉन्फ़िगरेशन और रूटिंग और डीएनएस कॉन्फ़िगरेशन को जोड़ना होगा। जाहिर है, यह वही है जो एन्क्रिप्टेड चैनलों के लिए आवश्यक है।

सुरक्षा मेरी सर्वोच्च प्राथमिकता है, और अभी मेरे पास यह मानने का कोई कारण नहीं है कि IKE या TLS किसी तरह से समझौता या टूट गया है। दोनों में आधुनिक एन्क्रिप्शन का समर्थन किया जाता है, और दशकों के ऑपरेशन के लिए उनका परीक्षण किया गया है। अगर कुछ नया करने का मतलब यह नहीं है कि यह कुछ है, यह बेहतर है।

जब आप उन तृतीय पक्षों से संपर्क करते हैं जिनके स्टेशन आपको नियंत्रित नहीं करते हैं, तो इंटरऑपरेबिलिटी महत्वपूर्ण है। IPsec डी वास्तविक मानक है और लगभग सार्वभौमिक रूप से समर्थित है। और यह काम करता है। और कोई फर्क नहीं पड़ता कि यह कैसा दिखता है, सिद्धांत रूप में, भविष्य में वायरगार्ड स्वयं के विभिन्न संस्करणों के साथ भी संगत नहीं हो सकता है।

किसी भी क्रिप्टोग्राफ़िक सुरक्षा को जल्द या बाद में हैक किया जाता है और तदनुसार, प्रतिस्थापित या अद्यतन किया जाना चाहिए।

इन सभी तथ्यों को नकारना और अपने iPhone को अपने होम वर्कस्टेशन से कनेक्ट करने के लिए वायरगार्ड का उपयोग करना चाहते हैं। यह केवल रेत में अपना सिर चिपकाने की एक कार्यशाला है।

आपको वायरगार्ड का उपयोग क्यों नहीं करना चाहिए