+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Лучшие практики WireGuard

Лучшие практики WireGuard, RouterOS

swisstico

Guest

22.12.2021 20:17:00

Всем привет! На этой неделе мы поиграли с WireGuard VPN на MikroTik v7 и хотели бы узнать ваш опыт — какие «лучшие практики» использовать для роад-воркеров (у нас есть клиенты с примерно 40-50 роад-воркерами, у других — меньше 10). Пока что мы проверили следующие конфигурации:

Только один WireGuard «сервер» со всеми клиентами
Плюсы:
- Один интерфейс, один IP на роутере, меньше правил файрвола
- Открыт только один порт на роутере

Минусы:
- Если нужно поменять ключ «сервера», придётся обновлять всех клиентов

Несколько WireGuard «серверов» с группами клиентов (по ролям)
Например, один сервер для личных устройств (BYOD), другой — для корпоративных (ноутбуки, которые берут с собой), и так далее.
Плюсы:
- Несколько интерфейсов, разные ключи для разных групп (лучше безопасность)
- Несколько открытых портов на роутере

Минусы:
- Если нужно поменять ключ «сервера», придётся обновлять часть клиентов (но не всех)
- Больше правил файрвола для поддержки и больше нагрузки на CPU

Один WireGuard «сервер» на клиента (или на пользователя)
Например, один «сервер» на каждого пользователя, учитывая, что у пользователя 4 устройства (десктоп, ноутбук, планшет, телефон). Каждый пользователь имеет свой собственный WireGuard «сервер».
Плюсы:
- У каждого пользователя разные ключи «сервера» и «пиэра» (лучше безопасность)
- При замене ключа «сервера» нужно обновлять только одного пользователя (у которого, например, 4 устройства), остальные не затрагиваются

Минусы:
- Много интерфейсов, много работы по настройке
- Много открытых портов на роутере
- Больше правил файрвола для поддержки и соответственно большая нагрузка на CPU

Другие общие вопросы:
- Что лучше с точки зрения нагрузки на CPU — один интерфейс или много?
- Один «серверный» интерфейс использует только один CPU или несколько при шифровании/расшифровке?
- Используются ли несколько «серверных» интерфейсов одновременно на разных ядрах CPU?

Если у вас есть другие предложения по «лучшим практикам», поделитесь! (Для технических вопросов по WireGuard, пожалуйста, создавайте отдельную тему). Спасибо за участие!

swisstico Guest	#2 0 11.01.2022 16:52:00 Поскольку мы писали этот пост в конце года, возможно, многие были в отпуске. Мы просто хотим снова поднять эту тему. Пожалуйста, если у вас есть идеи или комментарии — делитесь!

Sob Guest	#3 0 01.02.2022 23:12:00 Ты лучше не спрашивай. Я провёл пару тестов на Linux и подумал: «Классно, если бы только RouterOS это поддерживал». А потом ждал, пока RouterOS это добавит.

anav

Guest

11.01.2022 17:35:00

После быстрого просмотра ваших предположений, я действительно считаю, что поменять всего один ключ для 50 клиентов куда проще, чем менять несколько публичных ключей. Мой вопрос основывается на предположении, что каждый «дорожный воин» находится за разным IP и не использует устройство MT, то есть получается, что 50 смартфонов подключаются к MT Server Router.

(1) Вариант 1:
50+ телефонов, один интерфейс Wireguard, один порт для прослушивания, один публичный ключ с сервера WG для управления, и нужно 50+ публичных ключей смартфонов.
a. Все клиенты должны быть в одном подсетевом диапазоне, то есть каждому телефону назначается адрес 192.268.100.AA от 2 до 5X
b. IP-адрес на сервере WG — 192.168.100.1/24, сеть — 192.168.100.0
c. Правила межсетевого экрана определяют, куда разрешён трафик WG
d. Правила для смартфонов устанавливают, какие IP-адреса назначения могут войти в туннель (разрешённые адреса пиров)

(2) Вариант 2:
50+ телефонов, 50+ интерфейсов Wireguard, 50+ портов для прослушивания, 50 публичных ключей от сервера WG, при этом всё равно нужны 50+ публичных ключей смартфонов.
Уже звучит ужасно.

(3) Лучший вариант???
(Возможно, придётся разделить пользователей на группы, чтобы изолировать некоторых пользователей или данные ради безопасности или по крайней мере чтобы у некоторых с более высокой вероятностью менять ключи).
То есть минимизировать сбои и общие издержки в конечном итоге?

pcunite

Guest

11.01.2022 17:47:00

Думаю, твой вопрос уже содержит ответ. Всё зависит от ситуации, правда? По крайней мере, пока WireGuard не станет по-настоящему везде и не появятся автоматические инструменты для обновления клиентов. У меня ограниченный опыт с WireGuard, но сейчас я использую сервер на RPi за роутером. Конечно, мне хотелось бы перенести это на роутер, и когда почувствую, что RouterOS v7 готов, так и сделаю. Так что у меня реализован твой первый вариант: один сервер WG с множеством клиентов, у всех один и тот же сервер.

Меня больше беспокоит именно клиентская часть. У меня возникают сложности с архитектурой, когда у пользователя на удалённом конце несколько физических устройств и как удержать клиентов на разных VLAN, ведь WireGuard — это только L3. Скажем, у них есть ноутбук, мобильный телефон и физический IP-телефон по Ethernet. В таком случае я протестировал локальное устройство типа hAP AC с ROS v7 и с помощью правил фаервола смог держать всё сегментированным так, как нужно. Устройство предоставляло локальный Wi-Fi и Ethernet-порты. По сути — это Site-To-Site VPN.

Но хочу ли я ставить железо в дома пользователей, отели и так далее? Ни за что! Лучше ли я буду постоянно следить за кучей сертификатов на их iPhone и ноутбуках? Может, проще забыть про физические IP-телефоны? Вот и дилемма. Если на всё поставить сертификат (можно ли вообще использовать один и тот же сертификат на iPhone и ноутбуке?), то при смене — придётся менять везде. Вывод такой: так и работает WireGuard. Сертификаты должны быть повсюду.

anav Guest	#6 0 11.01.2022 17:53:00 Для более сложных схем, возможно, стоит обратить внимание на Tailscale и Zerotier, чтобы упростить задачу, так как простой wireguard может не подойти для масштабирования.

Zacharias Guest	#7 0 11.01.2022 19:02:00 Я недавно тестировал Wireguard, выглядит и работает отлично… Хотя в продакшене пока не использовал. Так что, как лучше поступить на практике?

pcunite

Guest

11.01.2022 19:10:00

Сколько у вас инженеров поддержки? Сколько конечных пользователей (всего устройств)?
1-100 конечных устройств: Вариант А – ключ для одного сервера.
100-1000 конечных устройств: Вариант B – ключ для нескольких серверов, по одному серверу на каждые 100 устройств.
Более 1000 конечных устройств: Вариант C – ключ для нескольких серверов, по одному серверу на устройство, плюс индивидуальное программное обеспечение.

Обновления: заменили термин "сертификат" на "ключ". Добавлена ссылка на ПО.

Sob

Guest

11.01.2022 23:35:00

@pcunite: Ключи, а не сертификаты. Правильная инфраструктура для сертификатов — это довольно сложно: проверка, удостоверяющие центры, отзыв сертификатов — настоящий кошмар для простых пользователей. Ключи WG предельно просты: я покажу тебе свои, ты — свои, и вуаля, у нас есть VPN. «Проблема» WG в том, что это очень низкоуровневое решение. Всё, что вы получаете — это статические туннели, без динамического назначения адресов, без динамической маршрутизации, ничего такого. Если вам этого достаточно — отлично. Но если хочется большего, нужно что-то другое для управления, а универсального стандарта для этого пока нет.

mozerd Guest	#10 0 12.01.2022 01:39:00 @Sob Ты серьёзно смотрел на TailScale? Позволь поспорить, что нет. Ты и все здесь, кто спрашивает про лучшие практики, должны внимательно ознакомиться с TailScale.

anav Guest	#11 0 12.01.2022 02:21:00 Можно ли сказать, что для масштабирования WireGuard нужен Tailscale... простите, не удержался! Конечно, можно предположить, что Zerotier тоже вполне подходит.

gotsprings

Guest

#12

12.01.2022 04:39:00

Использовал Wireguard, чтобы соединить офис с складом. Офис работает через Starlink, поэтому нет публичного IP. Потребовалось пару минут, чтобы врубиться, поскольку я привык, что офис выходит в сеть через L2TP. Затем трафик шёл по IPSEC, используя встроенную опцию в L2TP. После подключения я настроил несколько пиров на складе. Нужно добраться до офиса — подключаешься к VPN склада, и тебя сразу туда "перескакивает". Ну, после того как я разобрался, как Wireguard работает с адресами, а не просто строит маршрут к адресу окончания.

Zacharias Guest	#13 0 12.01.2022 10:38:00 @pcunite, спасибо за ответ... как сказал @sob, думаю, вы имели в виду ключи, а не сертификаты... В чем бы была выгода от использования tailscale или zerotier вместе с wireguard? Просто спрашиваю...

mozerd

Guest

#14

12.01.2022 11:20:00

Я бы сказал, что ZeroTier — это НЕ подходящий вариант, потому что TailScale построен именно на WireGuard, а ZeroTier — нет. Вот одна из главных причин, почему у TailScale гораздо лучшие показатели производительности. Плюс, TailScale действительно решает проблему масштабирования WireGuard, поскольку он управляет ВСЕМИ СЕРТИФИКАТАМИ, КЛЮЧАМИ и гораздо больше — настоящий ZERO-конфигурационный сервис. Вот несколько примеров, но есть еще много всего, что вы можете изучить, если всерьез захотите рассмотреть TailScale. Выпуск TLS-сертификатов для ваших внутренних сервисов Tailscale. Сертификаты устройств и управление ими.

pcunite Guest	#15 0 12.01.2022 16:37:00 Спасибо за исправление. Nebula стоит посмотреть.

Sob

Guest

#16

13.01.2022 02:11:00

@mozerd: Ты немного не понимаешь суть. Wireguard — это протокол, я могу использовать его как угодно, всё в моих руках, никакой внешней стороны не участвует. В будущем может появиться стандартное расширение, которое будет управлять динамической конфигурацией для тех, кому это нужно — это тоже будет протокол. TailScale — это сервис, и если я его использую, то завишу от кого-то другого. Я не говорю, что это плохой сервис, нет, техническая часть мне даже нравится, их блог почитать интересно, возможно, они даже хорошие люди и всё такое. Но я всё равно не хочу от них зависеть. К тому же главная сила TailScale — когда нужна mesh-сеть, где каждый узел напрямую общается со всеми остальными. Это классная штука, когда она нужна, но так бывает не всегда. В таких случаях, как «доступ к корпоративной сети», старый добрый централизованный сервер — вот всё, что нужно, никаких сложных заморочек.

mozerd Guest	#17 0 13.01.2022 18:04:00 @Sob Во-первых, очень хороший ответ. Во-вторых, я тоже рад, что ты нашёл время и силы прочитать их материалы. В-третьих, я полностью согласен с твоими чёткими аргументами, потому что это и моя точка зрения!

swisstico Guest	#18 0 01.02.2022 21:10:00 Всем привет! Спасибо всем за ваши ответы! Нам не нужно (и мы не хотим по соображениям безопасности) использовать сервисы Tailscale. Их единственное преимущество — быть мостом между двумя точками, что мы прекрасно можем сделать через MikroTik, если от провайдера нет NAT (проблема с динамическим IP решается с помощью /ip cloud). Тем, кто ответил, сколько времени вы уже работаете с Wireguard (независимо от MikroTik) и сколько устройств успели настроить? С наилучшими пожеланиями,

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры