Jason Donenfeld včera vydal wireguard-linux-compat v0.0.2019122. WireGuard byl mezitím zařazen do kernelu 5.6, který vyjde na konci ledna nebo začátkem února příštího roku. Jakmile se tak stane, změní se číslování verzí a začne se číslovat od 1.0.x.
WireGuard je moderním a jednoduchým VPN řešením, více se o něm můžete dozvědět v našem nedávném seriálu.
(zdroj: phoronix)
Zde je na to ticket: https://gitlab.gnome.org/GNOME/network-manager-applet/issues/77
Wireguard je L3, nelze jednoduše "bridge-ovat" L2 a L3 interface.
Ale můžete vystavět L3 Wiguard spoj a skrze něj tunnelovat L2 vrstvu např. pomocí vxvlan nebo gretap.
Ještě mě napadá, že by šla zřejmě použit arp proxy.
https://gist.github.com/pamolloy/f464c2b54af03c436491f42abf0bbff9
https://vincent.bernat.ch/en/blog/2017-vxlan-linux
Tunelovat L2 potřebuji třeba proto, že mám ve vzdálené síti přitroublý zařízení, které je možné konfigurovat pouze při použití divné aplikace, která komunikuje čistě na L2. Potom můžu mít návrh sítě sebelepší, ale je mi k ničemu, když to nedělá, co od toho potřebuji.
Můj názor je stále stejný, Wireguard se do mě poslední dobou tlačí horem dolem ze všech stran, jak je to to jediné a nejlepší řešení, které pošle do starého železa všechna ostatní řešení a přitom od toho nechci nic složitějšího, než je přitroublá L2 trubka a nechci zabalovat tunel do tunelu.
Wireguard rozhodně nepovažuji za nejlepší řešení. Sebezajímavější řešení je na prd, pokud ho nezačnou podporovat výrobci. Začíná to od OS a končí u profesionálních síťových prvků. Jako příklad bych mohl uvést Microsoft SSTP, které je opravdu zajímavé, ale je k ničemu, protože z Androidu a Maca se k němu nepřipojíte, nebo za cenu opičáren doinstalací, bez možností automatického deploye.
Chyba v návrhu je to Vaše zařízení. Na taková zařízení je pár způsobů:
1. vyměnit ho :-),
2. včlenit do vzdálené sítě stroj, přes který s bude konfigurovat.
Tunelovat L2 je nejpitomější řešení ze všech. Zničíte si síť, bezpečnost, potenciálně výkon. Je to jako kdybyste si vybíral auto podle toho, že máte doma ve skříni sadu nových svíček pasujících do Fabie.
Proto se počítá TCO (total cost of ownership).
a) L2 tunel je zdánlivě zadarmo, ale stojí Vaši práci, zesložití síť, přinese nějaké problémy - to vše bude stát během příští 5 let odhadnutelné peníze.
b) Můžete vpravit do vzdálené sítě konfigurační mašinu. Ta bude něco stát, něco bude stát provoz a obměna (jednou doslouží). Bude spotřebovávat elektřinu. Možná ale může sloužit pro víc účelů. To se dá vypočítat - poměrně přesně.
c) Současné zařízení stejně musíte po několika letech vyměnit (doslouží). To bude stát nějaké Kč za nějakou dobu.
Nevyplatí se ho rovnou vyměnit?
A právě z této úvahy pak obvykle vyjde L2 tunel jako nejhorší řešení.
Teorie je hezká, ale pro mně (jsem na tom podobně jako předřečník) je stále nejjednodušší si - když už jednou za půl roku na něco takového lezu - na těch pár minut nahodit na obou stranách OpenVPN a u sebe si to na switchi pustit do patřičné VLANy...
Jinak u vxlan, kterou výše doporučuje pan Kubeček, se mi nějak nikdy nepodařilo docílit povolené fragmentace paketů, takže jsem vždycky skončila na problémech s MTU... :-(
Teorie je hezká, ale pro mně (jsem na tom podobně jako předřečník) je stále nejjednodušší si - když už jednou za půl roku na něco takového lezu - na těch pár minut nahodit na obou stranách OpenVPN a u sebe si to na switchi pustit do patřičné VLANy...
To chápu. Dával jsem vysvětlení, proč nikdo "profesionálně" nepodporuje L2 tunely, protože to má použitelnost skoro nulovou a to ještě "jednou za půl roku" - od toho se odvíjí celý thread.
Tady je rozhovor s autorem WireGuardu- vysvetluje tam proc L2 pres VPN neni dobrej napad ;o)
https://twit.tv/shows/floss-weekly/episodes/468
BTW zivi se hackovanim korporatu na kontrakt, takze vsemozny slabiny VPN jsou jeho denni chleba.
Podobne zajimavej rozhovor je https://twit.tv/shows/triangulation/episodes/352 kde autor PGP a Blackphone vysvetluje proc se jeho pokus o naprosto bezpecnej foun ukazal jako nerealnej.
Enjoy!
ČLÁNKY DO MAILU