The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В рамках проекта WireGuard подготовлена новая реализация VPN для Linux

29.06.2016 11:47

В списке рассылки разработчиков ядра Linux представлена новая реализация виртуального интерфейса для создания шифрованных и аутентифицированных туннелей. Новый VPN-интерфейс развивается в рамках проекта WireGuard, сочетающего применение проверенных современных методов шифрования с предоставлением минималистичной реализации (около 4000 строк кода), лишённой усложнений, наблюдаемых в таких системах, как xfrm и OpenVPN.

Отмечается, что продукт развивается уже несколько лет и прошёл стадию рецензирования применяемых криптографических методов, что позволяет начать его публичное продвижение в основной состав ядра. Проект позиционируется как многоплатформенный - после стабилизации реализации для Linux планируется создание вариантов и для других операционных систем. Автором проекта является Джейсон Доненфилд (Jason A. Donenfeld), исследователь безопасности, возглавляющий компанию Edge Security. Код распространяется под лицензией GPLv2.

Для шифрования применяются потоковый шифр ChaCha20 и алгоритм аутентификации сообщений (MAC) Poly1305, разработанные Дэниелом Бернштейном (Daniel J. Bernstein), Таней Ланге (Tanja Lange) и Питером Швабе (Peter Schwabe). Для генерации совместного секретного ключа применяется протокол Диффи-Хеллмана на эллиптических кривых в реализации Curve25519, предложенной Дэниелом Бернштейном. Для хэширования используются BLAKE2s (RFC7693) и SipHash24. Для согласования ключей и соединения вместо собственного демона в пространстве пользователя применяется механизм Noise_IK из Noise Protocol Framework, похожий на поддержание authorized_keys в SSH, без усложнений в виде поддержки x509 и ASN.1. Передача данных осуществляется через инкапсуляцию в пакеты UDP.

ChaCha20 и Poly1305 позиционируются как более быстрые и безопасные аналоги AES-256-CTR и HMAC, программная реализация которых позволяет добиться фиксированного времени выполнения без задействования специальной аппаратной поддержки. Повышение производительности обусловлено не только применением более быстрых алгоритмов, но и решением не использовать предоставляемый ядром crypto API (достаточно медленный из-за дополнительной буферизации), вместо которого в WireGuard задействованы собственные реализации примитивов ChaCha20, Poly1305, Blake2s и Curve25519.

Например, при тестировании производительности WireGuard продемонстрировал в 4 раза более высокую пропускную способность и в 3.8 раз более высокую отзывчивость, по сравнению с OpenVPN (256-bit AES c HMAC-SHA2-256). WireGuard также опережает по производительности IPsec (256-bit ChaCha20+Poly1305 и AES-256-GCM-128), но существенный выигрыш для IPsec заметен в основном в области снижения задержек.

В WireGuard применяется концепция маршрутизации по ключам шифрования, которая подразумевает привязку к каждому сетевому интерфейсу закрытого ключа и применение для связывания открытых ключей. Обмен открытыми ключами для установки соединения напоминает подход, применяемый в SSH. Поддерживается смена IP-адреса VPN-сервера (руминг) без разрыва соединения и автоматической перенастройкой клиента.

WireGuard достаточно прост в настройке. Для создания туннелирующего интерфейса предлагается использовать штатную команду "ip link", а для генерации ключей и настройки параметров VPN предлагается специальная утилита "wg". Например:


   ip link add dev wg0 type wireguard
   ip address add dev wg0 192.168.2.1 peer 192.168.2.2
   wg genkey > privatekey
   wg pubkey < privatekey > publickey
   wg set wg0 listen-port 2345 private-key /path/to/private-key \
      peer   ABCDEF... allowed-ips 192.168.88.0/24 endpoint 209.202.254.14:8172
   ip link set up dev wg0

Для упрощения настройки предлагается использовать файлы конфигурации ("wg setconf wg0 myconfig.conf"). Пример конфигурации сервера:


   [Interface]
   PrivateKey = yAnz5TF+lXXJte14tji3zlMNq+hd2rYUIgJBgB3fBmk=
   ListenPort = 41414

   [Peer]
   PublicKey = xTIBA5rboUvnH4htodjb6e697QjLERt1NAB4mZqp8Dg=
   AllowedIPs = 10.192.122.3/32, 10.192.124.1/24

   [Peer]
   PublicKey = TrMvSoP4jYQlY6RIzBgbssQqY3vxI2Pi+y71lOWWXX0=
   AllowedIPs = 10.192.122.4/32, 192.168.0.0/16

   [Peer]
   PublicKey = gN65BkIKy1eCE9pP1wdc8ROUtkHLF2PfAqYdyYBz6EA=
   AllowedIPs = 10.10.10.230/32

Пример конфигурации клиента:


   [Interface]
   PrivateKey = gI6EdUSYvn8ugXOt8QQD6Yc+JyiZxIhp3GInSWRfWGE=
   ListenPort = 21841

   [Peer]
   PublicKey = HIgo9xNzJMWLKASShiTqIybxZ0U3wGLiUeJ1PKf8ykw=
   Endpoint = 192.95.5.69:41414
   AllowedIPs = 0.0.0.0/0


  1. Главная ссылка к новости (https://lkml.org/lkml/2016/6/2...)
  2. OpenNews: Выпуск VPN-демона MPD 5.8
  3. OpenNews: Релиз свободного безопасного цензуроустойчивого VPN-демона GoVPN 5.0
  4. OpenNews: VPN-сервер SoftEther VPN открыт под лицензией GPLv2
  5. OpenNews: Увидел свет OpenVPN 2.3.0
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/44695-tunnel
Ключевые слова: tunnel, vpn, wireguard
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (77) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, anonimous (?), 11:52, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +45 +/
    > C

    Я даже как-то удивлён, что ни на Го, или Расте, или на чём там сейчас принято такое писать. Неужели действительно полезный проект да с серьёзными разработчиками?

     
     
  • 2.2, h31 (ok), 11:56, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +16 +/
    Это же модуль ядра, тут сишечка без вариантов.
     
  • 2.9, АнонимХ (ok), 12:26, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Если я вам покажу https://git.zx2c4.com/WireGuard/tree/contrib у вас не бомбанет?

    Все там есть, правда на своих местах. И Хаскель с Го и Растом, и systemd-шный юнит, и портянки на баше.

     
     
  • 3.15, Аноним (-), 13:06, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +7 +/
    Ваще нисколько не бомбануло. Это тесты, а не исходники.
     
     
  • 4.16, АнонимХ (ok), 13:18, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Ваще нисколько

    Значит, все впорядке :)

     
  • 2.32, Аноним (-), 16:13, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Пока модники меряются у кого ЯП длиннее, нормальные люди просто берут проверенные инструменты и работают.
     
  • 2.45, Наркоман (?), 20:43, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • –4 +/
    Чем го и раст не полезны и не серьёзны?
     
     
  • 3.60, Аноним (-), 12:23, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Глупой хипстотой и таким же кодом в результате, когда единственным аргументом является изучение очередным пыонэром очередной клевой шняги. Какие получаются в результате проги - догадайся. В криптографии и информационной безопасности это чревато, знаете ли.

    Сишники могут вытереть ключ когда это надлежит сделать. А хипстеры будут блеять что-то про многомегабайтный рантайм и удобство сборки мусора для даунов проносящих ложку мимо рта.

     

  • 1.4, Ivan_83 (ok), 12:05, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +7 +/
    Куча передёргиваний.

    1. AES при использовании AES-NI тоже констант тайм.

    2. При использовании AES-NI нагрузка на проц сильно ниже, чем с чачей. Те на
    слабом атоме/амд оно порвёт чачу как тузик грелку.

    3. AES-256 - это 256 бит секурности, а чача гарантирует только уровень безопасности 128 бит. Как и 25519.

    4. "достаточно медленный криптоапи" скорее всего просто не содержит чачу, блейка и прочее и именно поэтому они всё это встроили.

    5. опенвпн юзеспейсный потому и отклик у него больше.

     
     
  • 2.7, Аноним (-), 12:15, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > AES-256 - это 256 бит секурности, а чача гарантирует только уровень безопасности 128 бит. Как и 25519.

    Откуда данные о 128 битах. Официально заявлено 256 бит
    Из http://cr.yp.to/chacha/chacha-20080128.pdf
    "The Salsa20/20 stream cipher expands a 256-bit key into 2
    64 randomly accessible streams, each containing 2
    64 randomly accessible 64-byte blocks."

     
     
  • 3.35, Ivan_83 (ok), 16:50, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Речь не про длину ключа а про эквивалентную безопасность.
    Она для 25519 и чачи заявлена в 128 бит.
    Формально для чачи можно использовать все 512 бит стейта как ключ.
     
     
  • 4.67, Аноним (-), 13:07, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Формально для чачи можно использовать все 512 бит стейта как ключ.

    Осталось только придумать где взять честных 512 битов, чтобы сложность взлома была реально 2^512. Потому что если сложность взлома алгоритма формирующего эти биты лишь 2^128, единственным "достижением" становится таскание в 4 раза больше данных без каких либо улучшений.

     
  • 2.8, анонимпилигрим (?), 12:16, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Кто бы говорил
    1. И?
    2. Бенчмарки на последних атомах с тобой не согласны.
    3. Эти "биты" разные. 128 бит элиптики сильнее чем 256 бил AES
    4. Содержит.
    5. Отклик userspace<->kernelspace измеряется в ~80 наносекунд. так что не в этом дело.
     
     
  • 3.37, Ivan_83 (ok), 16:55, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    1. Слишком они передёргивают факты.
    2. Быть того не может, чтобы чача работала быстрее AES-NI. Быстрее софтовой реализации - да.
    3. В школу! Для элиптики длина эквивалентного симетрике ключа всегда больше. Я же вообще про уровень секурности, это оценочный параметр.
    4. да и хрен с ним :)
    5. думаю зависит от железа/нагрузки. В любом случае опенвпн тот ещё проэктик.
     
     
  • 4.44, www2 (??), 18:25, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    А про vtun что скажете?
     
     
  • 5.46, Ivan_83 (ok), 21:06, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ничего: не видел, не пользуюсь.
     
  • 5.58, Stax (ok), 15:29, 30/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > А про vtun что скажете?

    Насквозь дырявый: http://www.off.net/~jme/vtun_secu.ps

     
  • 5.68, Аноним (-), 13:08, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > А про vtun что скажете?

    Ты этого эксперта поменьше слушай. Человек AES NI нахваливает, а management engine который может всю систему разломать его не парит. Безопасник из него как из г-на пуля.

     
  • 2.10, Nicknnn (ok), 12:30, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Это в каких медленных атомах/amd есть AES-NI?
    Это Sandy Bridge медленные?
    К тому же они есть в  all except Pentium, Celeron, Core i3.
     
     
  • 3.38, Ivan_83 (ok), 16:57, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    За атомы не скажу, давно не смотрел.
    В амд на АМ1 сокете есть AES-NI и работает он шустрее чачи на си. Процы конкуренты атомам, хотя по бенчам они к Е8400 приближаются.
     
     
  • 4.69, Аноним (-), 13:10, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Это те где AMD наконец запилил свой ответ чемберле... management engine? Ну спасибо, отличные платформы для шифрования сетевого траффика.
     
  • 3.52, Stax (ok), 03:40, 30/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Это в каких медленных атомах/amd есть AES-NI?

    Во всех современных 22 нм/14 нм (где-то с 2013 года), на базе Silvermont. Т.е. все планшетные Bay Trail / Cherry Trail (http://ark.intel.com/products/80274), серверные Avoton (http://ark.intel.com/products/77977) и прочее. И да, они очень медленные, с TDP, зарезаным под несколько ватт особо не разгонишься.
    Про AMD ответили выше.

     
  • 2.25, Анонимко (?), 15:09, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >При использовании AES-NI нагрузка на проц сильно ниже, чем с чачей. Те на

    слабом атоме/амд оно порвёт чачу как тузик грелку.

    Потрудитесь, пожалуйста, посмотреть процессоры, поддерживающие AES-NI аппаратно. Как потрУдитесь, потрудитесь среди них найти слабый AMD. Да, сколько Атомов умеют AES-NI?

    > AES-256 - это 256 бит секурности, а чача гарантирует только уровень безопасности 128 бит. Как и 25519.

    Вы безопасность длиной ключа мерить вздумали? Тогда давайте юзать RSA! это ж минимум 4096 бит секьюрности!

    > опенвпн юзеспейсный потому и отклик у него больше.

    ОМГ, а это-то как влияет?

     
     
  • 3.28, sage (??), 15:35, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    >ОМГ, а это-то как влияет?

    Да, но виноват не сам OpenVPN, а tun. Я не думал, что он такой медленный, до того, как в него (в tun) полез. Хотя последние версии ядра сделали offloading, нужно бы попробовать его использовать.

     
  • 3.40, Ivan_83 (ok), 17:00, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    АМД на АМ1 сокете, самые бюджетные из бюджетных, при этом в 5350 AES-NI точно есть.

    Нет, есть оценочный критерий безопасности, обычно буквой m в литературе обозначают, я про него.

     
     
  • 4.70, Аноним (-), 13:11, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > АМД на АМ1 сокете, самые бюджетные из бюджетных, при этом в 5350
    > AES-NI точно есть.

    Еще в новых амд management engine есть. Конкистадоры обладателям копий и стрел приветы передвали.

     
  • 2.26, Аноним84701 (?), 15:21, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > 2. При использовании AES-NI нагрузка на проц сильно ниже, чем с чачей.
    > Те на слабом атоме/амд оно порвёт чачу как тузик грелку.

    Сильно зависит от того, где "смотреть" (как говортится: не верь бенчмаркам, если не (под)делал сам).
    http://bench.cr.yp.to/results-stream.html



    amd64; Skylake (506e3); 2015 Intel Core i5-6600; 4 x 3310MHz; skylake, supercop-20141124


    Cycles/byte for long messages
    quartile median quartile stream
    0.56 0.56 0.57 chacha8
    0.65 0.67 0.69 aes128ctr
    0.77 0.78 0.79 chacha12

    amd64; HW+AES (306c3); 2013 Intel Xeon E3-1275 V3; 4 x 3500MHz; titan0, supercop-20141124


    Cycles/byte for long messages
    quartile median quartile stream
    0.58 0.59 0.59 chacha8
    0.78 0.79 0.80 chacha12
    0.84 0.85 0.86 aes128ctr


     
     
  • 3.47, Ivan_83 (ok), 21:16, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    0.56 0.56 0.57 chacha8
    0.65 0.67 0.69 aes128ctr
    0.77 0.78 0.79 chacha12
    0.77 0.79 0.81 aes192ctr
    0.87 0.88 0.89 aes256ctr
    1.17 1.18 1.20 chacha20
    1.33 1.34 1.35 xsalsa20
    1.32 1.34 1.35 salsa20

    вот и сравнивай чача20 с aes128ctr, разница почти в два раза.

     
     
  • 4.48, funny_falcon (ok), 23:15, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    согласен, это странно, что хотя chacha8 до сих пор не взломана и chacha12 находится на недосигаемой дистанции от ближайшей "теоретической атаки" (chacha7 со сложностью 2^248; 2^248, Карл!!!), все упорно используют chacha20.
     
     
  • 5.63, Аноним (-), 12:46, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > со сложностью 2^248; 2^248, Карл!!!), все упорно используют chacha20.

    Потому что есть такое понятие как security margin. С 20 раундами margin больше. Желающие прострелить себе пятку могут убавить число раундов на свой страх и риск. Но стоит понимать что взлом шифра станет проще.

     
  • 4.49, Аноним84701 (?), 00:03, 30/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > 0.56 0.56 0.57 chacha8
    > 0.65 0.67 0.69 aes128ctr
    > 0.77 0.78 0.79 chacha12
    > 0.77 0.79 0.81 aes192ctr
    > 0.87 0.88 0.89 aes256ctr
    > 1.17 1.18 1.20 chacha20
    > 1.33 1.34 1.35 xsalsa20
    > 1.32 1.34 1.35 salsa20
    > вот и сравнивай чача20 с aes128ctr, разница почти в два раза.

    А почему тогда не теплую чачу20 с мягким aes256ctr?


     
     
  • 5.50, Ivan_83 (ok), 02:25, 30/06/2016 [^] [^^] [^^^] [ответить]  
  • –2 +/
    AES-NI всё равно быстрее.
    Кроме того AES блочный а чача поточная, иногда это очень важно.

    Учитывая что авторы заюзали 25519 а не х448 то эквивалентный уровень безопасности у них 128 бит.
    Поэтому мне весь этот их пеар как то навивает мысли либо о малограмотности (взяли всё модное и склеили не понимая сути) либо сильном желании любыми средствами высосать хоть какие то плюсы в сравнении с конкурентами.

    Ещё в опенвпн HMAC-SHA256 сильно дольше считается чем poly1305.

    http://www.cryptopp.com/wiki/Security_level
    http://crypto.stackexchange.com/questions/20122/extending-key-sizes-in-salsa2
    Для чачи20 всё таки пишут что 256 бит уровень безопасности, но я помню где то 128 бит видел, возможно спутал/объединил с 25519.

     
     
  • 6.62, Аноним (-), 12:44, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Только залочен на интел и их пробэкдореное железо Если тебе нужен лохотрон, про... большой текст свёрнут, показать
     
     
  • 7.72, Аноним15 (?), 10:37, 07/07/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Достаточно сказать что если ты явно не пропишешь нужные директивы, openvpn без проблем
    > примет любого клиента и его серт за сервер. Очень безопасно - любой vpn клиент может
    > по умолчанию сделать фееричный MITM :)

    Можно про это подробнее?

     
  • 7.73, Осторожный_аноним (?), 18:03, 18/01/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >OpenVPN детектируется с полкинка

    поэтому OpenVPN обычно оборачивают ещё одним слоем шифрования, чтобы с виду было обычное SSL шифрование

     
  • 2.61, Аноним (-), 12:34, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Только системы с таковым гарантированно содержат Intel Management Engine Крипто... большой текст свёрнут, показать
     

  • 1.5, Меломан1 (?), 12:08, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –7 +/
    Очень интересно, но когда в NetworkManager будет поддержка, тогда и поюзаем. Тем более для  Windows еще нет клиента.
     
  • 1.6, АнонимХ (ok), 12:11, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    На удивление приятные конфиги.

    Easy-rsa в openvpn обостряет обсессивное расстройство.

     
     
  • 2.29, sage (??), 15:36, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Easy-rsa в openvpn обостряет обсессивное расстройство.

    Третья версия гораздо удобнее
    https://github.com/ValdikSS/easy-rsa-ipsec

     
     
  • 3.31, АнонимХ (ok), 16:10, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Кстати, спасибо за напоминание. Видел эту 3-ю ветку. Ключи, сгенерированные ей, будут работать с любым openvpn (2.2 интересует)?
     
     
  • 4.36, Пользователь Debian (?), 16:52, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Они только интерфейс CLI изменили на вменяемый, а сертификаты как генерились OpenSSL'ем, так и продолжают: так что будет у Вас RSA-ключ в виде сертификата X.509, как и раньше.

    Единственное замеченное мною отличие это отключение по умолчанию поддержки нестандартного расширения 'nsCertType' (которое нетскейповское, и позволяет назначить сертификат как для использования только сервером или клиентом).  Если Вы это используете, то потребуется включить в настройках перед созданием новых сертификатов.

     
  • 3.64, Аноним (-), 12:55, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Третья версия гораздо удобнее
    > https://github.com/ValdikSS/easy-rsa-ipsec

    Спасибо, но ipsec все-таки должен умереть. Вместе с SSL. Монстры с множеством заведомо небезопасных и провальных опций не могут быть безопасными.

     

  • 1.11, Аноним (-), 12:31, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +28 +/
    Мне дали 4 килобайта данных, и отправили в Америку. В локальной сети провайдета всё было тихо и мирно. Но как только я зашёл в интернет... По левому ряду нёсся поток спам-сообщений со встроенными вирусняками. Армия личеров атаковала роутер клиента, который вышел в оффлайн. Паразитный трафик блокировал полезный, из-за чего в редких случаях запрашивался повтор - что опять же нагружало сеть.

    Ещё там были стримы летсплееров и порнотрафик. А ещё - какие-то странные, безликие существа. Мне вспомнилось что клетки крови - единственные в организме челвоека, которые не имеют ядра. "Это трафик VPN", - сказал мне сенсей. Он запихнул меня в портал чуть ли не насильно!

    Неожиданно я оказался в пустом туннеле, в котором никого не было, и через каждые 20-25 метров работал кондиционер. Я нёсся на полных скоростях, не боясь столкнуться с широковещательной рассылкой IPTV или с сетевым сражением в Доту! Но это в Матрице. В реальном мире я был расщиплён на белых безликих существ - VPN-трафик.

    Я снова собрался воедино, когда вышел из портала. Вокруг была тихая американская ночь. Лишь гулкие удары по фаерволлу нарушали тишину ночи.

    Что скажу по поводу новости? Одобряю! Мне каждый раз неприятно превращаться в безликую массу мелких существ, но и по реальному миру лететь не хочется - он мерзок... Надеюсь что когда я снова пойду в рейс, мне дадут портал в новый VPN - и там будет компромисс.

     
     
  • 2.12, YetAnotherOnanym (ok), 12:38, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +18 +/
    Отсыпь.
     
  • 2.19, Аноним (-), 13:47, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Можно подумать, нагрузка в канале не повлияет на твою персональную трубу до америки.
     
     
  • 3.23, Аноним (-), 14:44, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Это не моя проблема - пусть это будет головной болью Матрицы Я как USB-устройст... большой текст свёрнут, показать
     
     
  • 4.27, Аноним (-), 15:26, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Нет уж! Либо делайте инет реально чистым - забастовка tcp-пакетов против засилья винды, например. Или уходите от проблемы дальше! И никаких компромиссов! Всего вам хорошего, и удачи!
     
  • 4.59, Нечестивый (ok), 19:28, 02/07/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Google-очки мне дайте с фильтром мирового дерьма, и крепких телохранителей от спецслужб!

    Будет у тебя AR, успокойся. С абсолютно чистым дерьмом и крепкой защитой от любых попыток что то там фильтровать. А если попробуешь снять и крепкие представители спецслужб найдутся...

     
     
  • 5.65, Аноним (-), 12:58, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • +/
    А что, агент Смит по сценарию разве не появляется?
     
  • 2.20, Аноним (-), 14:05, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Писательский талант!))
     
  • 2.55, Romik (??), 11:14, 30/06/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Круто. Пиши ещё!
     
  • 2.77, Аноним (77), 16:08, 02/08/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Напомнило "Письма лейтенанта Глана из интернета".
     

  • 1.13, pavel_simple (ok), 12:46, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    какая-то лютая херня
    во первых вместо написания модулей, можно было написать дополнительные модули для xfrm
    сравнивать openvpn (юзерспейсный) и кернелспейс это вобще нужно быть мудаком
    >задействованы собственные реализации примитивов ChaCha20, Poly1305, Blake2s и Curve25519.

    вместо того, чтобы разогнать имеющиеся в crypto api реализации написали свои только NIH синдром толи активистки не дают

    кг/ам

     
     
  • 2.14, АнонимХ (ok), 13:01, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > сравнивать openvpn (юзерспейсный) и кернелспейс это вобще нужно быть мудаком

    Почему? Ведь это технические особенности. А предназначение то одно. Вам шашечки?

    > вместо того, чтобы

    Полагаю, скоро эти реализации приедут в crypto api на замену, просто. Вместе с вливанием WireGuard в мейнлайн. Что кипятишься то.

    > какая-то лютая херня

    Херня - это ненужные тонны X.509-крапа в OpenVPN

     
  • 2.66, Аноним (-), 13:01, 04/07/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > вместо того, чтобы разогнать имеющиеся в crypto api реализации написали свои только
    > NIH синдром толи активистки не дают
    > кг/ам

    И автомобили кг/ам! Вместо того чтобы вывести более быструю породу лошадей к нашми каретам, чертовы инженеры напихали месиво из проводов и трубок весом в полторы тонны!!!

     

  • 1.17, hardworm (?), 13:30, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    будет в android и роутерах - взлетит. Иначе > /dev/null
     
     
  • 2.22, _KUL (ok), 14:15, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Особо девственным девам с новыми смартфонами и работягам с домашними роутерами нужна более высокая пропускная способность шифрованных каналов связи!
     
     
  • 3.41, Аноним (-), 17:29, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    За дев решит гугл, они и не заметят. А остальным пропускная способность нужна.
     

  • 1.21, Нанобот (ok), 14:07, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    >предлагается специальная утилита "wg"

    неужели в линуксе ещё остались незадействованые двухбуквенные названия для команд?

    >в 3.8 раз более высокую отзывчивость, по сравнению с OpenVPN

    нашли с чем сравнивать. там вся разница в скорость из-за работы в ядре vs юзерспейсе

    >минималистичной реализации (около 4000 строк кода), лишённой усложнений

    а вот это хорошо

     
     
  • 2.33, Michael Shigorin (ok), 16:21, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • –5 +/
    >>предлагается специальная утилита "wg"
    > неужели в линуксе ещё остались незадействованые двухбуквенные названия для команд?

    Не знаю как в линуксе, а в сизифе конкретно это свободно:[CODE]$ egrep '/wg( |\t)' contents_index.*
    $ _[/CODE]

     

  • 1.24, nagual (ok), 15:00, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    И где колиент под вин ?
     
     
  • 2.39, Пользователь Debian (?), 16:58, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Поддерживаю данного оратора: без клиента под винду с аналогом OpenVPN GUI область применения любого VPN-решения становится органичена связью датацентров и прочими подобными вещами, а куда roadwarrior-ов-то девать?
     
     
  • 3.42, Amish (?), 17:30, 29/06/2016 [^] [^^] [^^^] [ответить]  
  • +3 +/
    У вас road warrior'ы с вендой? С ума сойти. А мастер джедаев Йода, небось, вообще кроме OS/2 ничего не юзал?
     
  • 2.54, Аноним as anon (?), 10:09, 30/06/2016 [^] [^^] [^^^] [ответить]  
  • +/
    под win не проблемой будет, как и гуй в андроид. однако, как скоро это сможет появиться в огрызке? это ведь не клон тетриса. если такой туннель внедряется как элемент инфраструктуры, то все девайсы должны подключаться...
     

  • 1.30, Ilya Indigo (ok), 15:52, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Однозначно полезно и нужно!
     
  • 1.34, Del (?), 16:32, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Подождем пару дней и это все станет не надо...
     
  • 1.43, Аноним (-), 17:50, 29/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Штука, похожая на эту, уже была.
    http://sites.inka.de/~W1011/devel/cipe.html
     
  • 1.51, lor_anon (ok), 03:16, 30/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Хех, картинку "Ping Time" маркетолог делал. У них VPN-тоннель в соседнюю комнату? В реальной жизни он чаще в другой район/город/страну, задержка уже единицы или десятки миллисекунд, и сокращение времени в 1 мс - это улучшение на единицы процентов. И график уже не такой впечатляющий был бы.
     
     
  • 2.53, Нанобот (ok), 09:45, 30/06/2016 [^] [^^] [^^^] [ответить]  
  • +3 +/
    наоборот, всё правильно. исключили то, что не имеет отношения к технологии. правда для полноты картины нужно было бы ещё показать пинг без vpn...
     
  • 2.79, Аноним (79), 04:47, 22/08/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Попробовал я этот проект на своей нормально работающей VPSке с OpenVPN.
    И что-то вообще никакого прироста не заметил.
    Думал щас как все залетает в 4 раза быстрее, как декларируют разработчики, а на самом деле, изменения даже если и были, то на уровне погрешности измерения.

    В общем вернулся к своему отполированному OpenVPN, показывающему такие же скоростные характеристики.

    Может в каких-то юзкейсах и есть прирост, но я, если честно, у себя не заметил...

     

  • 1.56, Romik (??), 11:16, 30/06/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Почему всек так любят OpenVPN, а не используют IPSec?
     
     
  • 2.57, nagual (ok), 15:04, 30/06/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Почему всек так любят OpenVPN, а не используют IPSec?

    Потому что клиенты под вин, потому что работает через прокси, потому что удобно ...

     
     
  • 3.78, Злой Админ (?), 12:43, 10/08/2018 [^] [^^] [^^^] [ответить]  
  • +/
    У винды давным-давно есть встроенный VPN-клиент. Имхо, единственный плюс OpenVPN - возможность дать пользователю сразу готовый конфиг, а то и настроенный клиент.
     

  • 1.71, Аноним (-), 14:06, 04/07/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Все ништяк, но оно хочет Ядро 4.1 и выше.
    И как быть тем, у кого это условие недостижимо?
     
     
  • 2.75, Anonimous (?), 02:47, 24/01/2018 [^] [^^] [^^^] [ответить]  
  • +/
    страдать
     

  • 1.74, Аноним (-), 23:14, 18/01/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Он уже сделал так, чтобы systemd при загрузке собирал новое ядро со всеми dbus-ами и wireguard-ами?
     
     
  • 2.76, Деанон (?), 17:12, 29/01/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да
    https://www.opennet.dev/opennews/art.shtml?num=47982
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру