WireGuard

WireGuard je protokol a softvér na vytváranie VPN – šifrovaných tunelov medzi zariadeniami. Navrhol ho bezpečnostný výskumník Jason A. Donenfeld s cieľom, aby bol jednoduchší, rýchlejší a ľahšie overiteľný ako staršie riešenia, napríklad OpenVPN alebo IPsec.

V marci 2020 sa WireGuard stal súčasťou jadra Linuxu od verzie 5.6 a dnes existujú klienti pre Windows, macOS, iOS, Android aj BSD. Používa ho väčšina komerčných poskytovateľov VPN, domáce smerovače aj nástroje na prepájanie vlastných zariadení.

Ako WireGuard funguje

Každé zariadenie (peer) má pár kľúčov podobne ako pri SSH. Do konfigurácie sa zapíše verejný kľúč protistrany a rozsahy IP adries, ktoré cez ňu smú prechádzať – tento princíp sa volá cryptokey routing. Spojenie sa nadviaže krátkou výmenou správ a kľúče relácie sa automaticky obnovujú každých pár minút.

Prevádzka ide výlučne cez UDP. Server neodpovedá na pakety, ktoré nie sú podpísané známym kľúčom, takže je pre skenovanie siete prakticky neviditeľný. Ak zmeníte sieť – napríklad prejdete z Wi-Fi na mobilné dáta –, tunel pokračuje bez nového prihlasovania.

Kryptografia a malý kód

WireGuard nevyjednáva šifry. Používa pevnú sadu moderných algoritmov: rámec Noise na výmenu kľúčov, Curve25519, ChaCha20-Poly1305 na šifrovanie a BLAKE2s na hašovanie. Ak by sa v niektorom algoritme našla slabina, rieši sa to novou verziou protokolu, nie voľbami v konfigurácii, ktoré by sa dali zle nastaviť.

Jadro implementácie má len niekoľko tisíc riadkov kódu, kým staršie VPN riešenia spolu s knižnicami majú rádovo viac. Menší kód sa ľahšie audituje a má menej miest, kde sa môže skrývať chyba. Protokol bol aj formálne overený akademickými prácami.

Výhody a obmedzenia

Hlavné výhody sú rýchlosť, nízka latencia a nízka spotreba batérie, čo ocenia najmä mobilné zariadenia. Konfigurácia je krátka a prehľadná. Na druhej strane WireGuard nepodporuje TCP, takže v sieťach, ktoré UDP blokujú, sa nemusí pripojiť, a sám osebe nerieši správu používateľov ani prideľovanie adries.

Pre súkromie je dôležitý detail: server si v pamäti drží poslednú verejnú IP adresu každého pripojeného zariadenia a v tuneli má každý peer pevne priradenú vnútornú adresu. Poskytovatelia VPN to riešia vlastnými úpravami, napríklad dynamickým prideľovaním adries a mazaním údajov po odpojení. Ako vyberať poskytovateľa, nájdete v kategórii VPN.

Na čo sa WireGuard používa

Komerčné VPN aplikácie ho ponúkajú ako rýchly protokol, často pod vlastným názvom. Správcovia ním prepájajú pobočky, servery v cloude alebo pripájajú zamestnancov. Doma si ním môžete sprístupniť sieť cez smerovač, ktorý WireGuard server podporuje.

Na WireGuarde stoja aj nástroje typu mesh VPN, ktoré automaticky rozdeľujú kľúče a prepájajú zariadenia priamo medzi sebou. Pri ručnej konfigurácii dbajte na to, aby súkromné kľúče zostali iba na danom zariadení.

Časté otázky

Kde stiahnuť WireGuard?

Oficiálnych klientov nájdete na stránke projektu a v obchodoch s aplikáciami pre Windows, macOS, iOS a Android. V Linuxe je súčasťou jadra a nástroje stačí doinštalovať zo správcu balíkov.

Je WireGuard bezpečnejší ako OpenVPN?

Oba sú pri správnom nastavení bezpečné. WireGuard má menší kód a menej volieb, ktoré sa dajú pokaziť, OpenVPN má dlhšiu históriu a väčšiu pružnosť.

Je WireGuard zadarmo?

Áno, je to open-source softvér. Platí sa až za server alebo za službu VPN, ktorá WireGuard používa.

Prečo sa WireGuard nepripojí v niektorých sieťach?

WireGuard funguje iba cez UDP. Ak sieť UDP blokuje alebo povoľuje len webové porty, spojenie nevznikne a treba použiť protokol, ktorý podporuje TCP.