WireGuard VPN

pedro4444

zdeneksvarc
ake mas s nim skusenosti co pozeram grafy mal by byt rychlejsi ako
l2tp-ipsec

mas to realne porovnane ci sa mi oplati to prerabat?
bezpecnost vyzera ze ma ok co som cital uz len vazne ta rychlost ci sa oplati do toho ist.....

a viem tne tunel pouzit aj medzi mk a windowsom alebo len medzi mk a mk?

jan2

pedro4444 I mezi mk / linux / android / windows .......
bezpečnost nejsem schopen posoudit, ale je možné během provozu měnit IP , tedy pokud se začne spojení přes nějakou důvěryhodnou linku (tunel) a pak přes WireGuard, a nejde po Vás nějaká FBI a pod, tak by ten začátek neměli odchytit, ale to už je na nějakýho fakt specialistu

jezdec

pedro4444
U me wireguard vitezi na plne care, hlavne kvuli jednoduchosti konfigurace a vykonu.

Urcitou vyhodou muze byt i to ze u Wireguardu prakticky neexistuje model server-klient

Problem muze byt u Mikrotiku s vykonem, Wireguard nema HW akceleraci na ROS oproti ipsec (na urcitem MK hardwaru).

zdeneksvarc

Nejsem žádný odborník na síťové a kryptografické protokoly, ale rychlost tipuju na úrovni SCP/SSH. Vzhlem k dizajnu WireGuard (nestavovost, úsporný a čistý kód) pak tipuju, že bude i rychlejší. Jestli koukáme na stejné grafy, tak rychlost oproti L2TP/IPSec vychází fakt líp.

zdeneksvarc

jan2 HA se na WireGuardu dá prej řešit přes Keeplived. Hezké video na to bylo na InstallFestu. Dodávám, že obyčejný roaming na WireGuardu funguje taky, protože je nestavový, ale to víme. Ona celá ta UDP mesh topologie WireGuardu je prostě geniální.

jan2

no nejsem bezpečnostní expert, ale četl jsem, že třeba https je možné při dostatečném výpočetním výkonu a zachycení začátku komunikace podvrhnout certifikát. Tedy pokud jde o bezpečnost, dolámat se do fungujícího tunelu bez povšimnutí bude asi těžší. Naopak při sestavení by třeba nějaká možnost byla (tedy pro někoho s extra výkonným HW, který celou komunikaci již napadne při sestavování. Ale třeba tomu jen nerozumím.

zdeneksvarc

To bych si dokázal představit, že se teoreticky se lze nějak vlámat do TLS handshake. Ale slyším to poprvé. Určitě se rád dozvím víc. Z praxe spíš vidíme revokace certifikačním autorit na základě bezpečnostního úniku privátních klíčů. Přístup agenturních a bezpečnostních složek k privátním klíčům je zase jiná kapitola.

pedro4444

jezdec
myslis ze to zerie dost CPU?
ale taka 2011 a vyssie by to nemali mat problem podla mna utiahnut..

a ten model myslis ako ze tam je to inak ako ze server-kllient?

jezdec

pedro4444

Vykon je primoumerny vykonu CPU... Kdyz vemu treba Mirotik RB750Gr3 (mips 2x880mhz) tak vykon je nasledujici:

OpenVPN - cca 30Mbit/s (CPU)
WireGuard - cca 140Mbit/s (CPU)
IPSec - cca 470Mbit/s (HW akcelerace)

WireGuard nema sam o sobe koncepci server-klient ..ve vysledku to znamena ze neexistuje konfig pro server a klienta. Konfigy jsou stejne (v konfigu se neurcuje kdo je server nebo klient), komunikace funguje zjednodusene receno na vymenene klicu mezi body. Bod A se muze pripojit na bod B a naopak.

RB2011 bych radeji vynechal .. ma slaby CPU

Zde je dalsi priklad:
https://www.wireguard.com/performance/

pedro4444

jezdec
tak podla teba je stale ipsec lepsi?

sorry za blbu otazku ale pozeram navod:
https://help.mikrotik.com/docs/display/ROS/WireGuard

a nejak nechapem to ze ani jeden nie je klient to potrebujem na vytovrenie WireGuard mat verejnu na oboch stranach? vsak ked sa napojim notebookom z mimo napajam sa predsa na router a ten je tzv server aelbo sa mylim?

dakujem za nasmerovanie

Vision2020

jezdec
Mám taky RB750Gr3, přípojka 1000/1000 Mbit. Wireguard nastaven, všechno šlape, ale nemůžu z toho dostat víc než 40-50 Mbit. Procesor při měření vytížen na cca 35%. Jak se ti povedlo vytáhnout 140 Mbit?

vecino

pedro4444
Zkus si počíst tady: https://ondrej-sika.cz/blog/wireguard/ je to v takový lidštější formě. 🙂

jezdec

Vision2020
Ahoj.. no normalne sem nastavil Wireguard 🙂

A samozrejme povoleny Fasttrack, Port1 Nastaven jako WAN ostatni (Port2 - Port5) nastaveny do bridge a nastaven NAT.

Nastaveny a vygenerovany akorat klice a to je vse.

Pripojka 200/200 Mbit/s .. spoj na Ray2, na cemkoliv jinem napriklad na 60Ghz atd to jede stejne.
Mereno na stroji s linuxem, ale to je jedno u Androidu napr. to jede stejne.

Vic informaci me nenapada 🙂

https://ibb.co/xh7VSLF

Vision2020

jezdec
eth1-5 bridge1, NAT mezi wireguard1 a bridge1, tudíž daný RB nedělá nic jinýho. Nenapadá mě, kde by mohla být chyba.

jezdec

Vision2020
No to asi neni uplne dobre...Wireguard je pouze virtualni interface v podstate

Ja mam udelanou maskaradu ...

https://ibb.co/5htDpJS

jak uz sem psal... eth1 jako WAN (NENI v bridgi) a zbytek portu (Port2-Port5) je v bridgi

Vision2020

jezdec
Potom jsem asi špatně pochopil princip. Každopádně když NAT vypnu, na zařízení za wireguard nejde internet, dostanu se jenom na druhý konec tunelu, což je Mikrotik.

0.0.0.0/0 gateway 192.168.0.95
bridge1 192.168.0.34/24
wireguard1 10.200.0.1/24
telefon 10.200.0.2/24
povolené IP 0.0.0.0/0
NAT maškaráda out interface bridge1

jezdec

Vision2020

Maskarada ale nema byt na bridge ale na konkretni WAN interface treba prave ten ether1 ktery neni v bridge.

Moc nechapu proc tu maskaradu takhle mas.

Mas spatne nastaveny router

Vision2020

jezdec

Jenže já mám všechny porty v bridge a routuje právě jiné zařízení. Proto mám jako WAN rozhraní nastaven bridge1.

jan2

Nesetkal jste se někdo v mk s tím, že pokud ve protějšek nastaven jako něco.domena.cz , tak to po náhodným čase umře a nevzpamatuje se ( někdy ani nezahaji), pokud se použije IP adresa je to ok. Výpadky internetu tam nejsou.

dacesilian

jan2 Nesetkal, ale tady to člověk taky píše - https://forum.mikrotik.com/viewtopic.php?t=181157#p897360 , https://forum.mikrotik.com/viewtopic.php?t=166214#p885916 , navrhují si tam i nějaké workaroundy, protože tuší, že to Mikrotik nikdy neopraví 😃

Další stránka »