WireGuard

A WireGuard az IP-csomagokat titkosított UDP-datagramokba csomagolja, amelyeket a nyilvános kulcsuk alapján egymást azonosító peerek küldenek egymásnak. Egy kapcsolat kialakítása hasonlít az SSH-kulcsok cseréjéhez: mindkét fél eltárolja a másik nyilvános kulcsát, valamint azokat a címtartományokat, amelyek felé az adott peer küldhet és fogadhat forgalmat. A titkosítási csomag rögzített, nem egyeztetett, a Curve25519, a ChaCha20, a Poly1305, a BLAKE2s és a Noise protokollkeretrendszer alapjaira épül, ami megszünteti azt az egyeztetési lépést, amelynél a régebbi alagútprotokollok visszaminősíthetők, és emellett a kódbázist is jóval kisebbre szorítja, mint az IPsec vagy az OpenVPN esetében.

Windows alatt a kliens a WireGuardNT kernelillesztő fölött fut, és egy tömör alagútkezelőt kínál: importálható vagy beilleszthető egy konfiguráció, majd az ablakból vagy az értesítési területről aktiválható és deaktiválható. Az alagutak úgy is korlátozhatók, hogy csak a teljes forgalom vagy csak kijelölt alhálózatok haladjanak át rajtuk, és ez fejezi ki a kill-switch viselkedést is. A kapcsolatok túlélik a végpontváltásokat, így a Wi-Fi és egy mobil hotspot közötti váltás újracsatlakozási párbeszédablak nélkül folytatódik. Az adminisztrátorok önálló MSI-csomagokat és rendszerleíró-adatbázis beállításokat kapnak a zárolt telepítésekhez, a támogatott tartomány pedig kiterjed a Windows 10-re és 11-re, valamint a Server 2016-tól 2025-ig terjedő verziókra.

Ez a protokoll és a kliens, nem egy kereskedelmi VPN-szolgáltatás. Nincs szerverhálózat, nincs országlista és nincs bejelentkezéshez szükséges fiók; szükség van egy saját végpontra, legyen az egy otthoni router, egy önüzemeltetett szerver, egy céges átjáró vagy egy felhőalapú példány. Ez jó választássá teszi egy privát hálózathoz való távoli hozzáféréshez, telephelyek közötti kapcsolatokhoz és homelab-beállításokhoz, ahol a konfigurációs fájlok egyszer legenerálhatók és utána újrafelhasználhatók.

Aki egyszerűen csak egy gombnyomással szeretne megjelenni egy másik országban, annak kényelmetlen lesz a kézi kulcs- és konfigurációkezelés, és inkább egy hosztolt szolgáltatót érdemes választania, bár ezek közül sok a WireGuard protokollt futtatja a saját felhasználói felülete mögött. A mobil és más asztali platformoknak saját hivatalos klienseik vannak, így ugyanaz a konfiguráció újrafelhasználható az eszközök között.