====== WireGuard importado a OpenBSD-6.7 ====== {{ :informatica:openbsd:puffy67.gif?610 |OpenBSD-6.7 }} [[https://undeadly.org/cgi?action=article;sid=20200622052207|Articulo Original de OpenBSD Journal]] En el siguiente commit (y muchos otros), David Gwynne (dlg@) importó la mayor parte del código enviado recientemente por Jason A. Donenfeld y Matt Dunwoodie para permitirle usar WireGuard de forma nativa en OpenBSD: CVSROOT: /cvs Module name: src Changes by: dlg@cvs.openbsd.org 2020/06/21 06:11:26 Modified files: sys/net : if.c Added files: sys/net : if_wg.c if_wg.h wg_cookie.c wg_cookie.h wg_noise.c wg_noise.h Log message: add wg(4), an in kernel driver for WireGuard vpn communication. thanks to Matt Dunwoodie and Jason A. Donenfeld for their effort. it's at least as functional as the go implementation, and maybe more so since this one works on more architectures. i'm sure there's further development that can be done, but you can say that about anything and everything that's in the tree. ok deraadt@ El protocolo VPN WireGuard ha estado disponible en OpenBSD como un puerto durante un tiempo, primero como la implementación `wireguard-go` en Go, pero luego también como el puerto wireep en C, ambos utilizando dispositivos tun(4), al igual que OpenVPN y otros, que incurre en una leve penalización por cruzar el borde del núcleo/espacio de usuario para cada paquete. WireGuard es un túnel de capa 3 que se puede ejecutar en modo pasivo, solo enviando paquetes cuando algo necesita llegar al otro lado (a menos que habilite los latidos (heartbeats)). Solo permite algoritmos y algoritmos criptográficos modernos seleccionados, elegidos para funcionar en CPU que carecen de aceleradores criptográficos, a la vez que son seguros. Los paquetes de WireGuard se envían a través de UDP y pueden ejecutarse y transportar tanto IPv4 como IPv6. Maneja redirecciones NAT/puertos y puntos finales que cambian las direcciones IP, lo cual es muy bueno cuando se cambia de cableado a wifi o viceversa. Jason y Matt han estado ocupados haciendo que WireGuard funcione de forma nativa en OpenBSD, y enviaron un parche enorme a tech@ recientemente [ver informe anterior](https://undeadly.org/cgi?action=article;sid=20200512080047) para poder ejecutarlo en OpenBSD, usando ifconfig(8) y con soporte de kernel para las interfaces wg(4). Después de tres revisiones de parches enviadas, dlg@ ahora ha comenzado a importarlo a la base, y pronto debería habilitarse en los núcleos GENERIC. **Actualización 24 de junio de 2020**: wg(4) se ha habilitado y ahora está disponible en las últimas instantáneas: CVSROOT: /cvs Module name: src Changes by: dlg@cvs.openbsd.org 2020/06/23 17:35:39 Modified files: sys/conf : GENERIC Log message: enable wg(4). this will make testing easier for everyone. from Jason A. Donenfeld and Matt Dunwoodie ok deraadt@ tobhe@ Lo probamos rápidamente en dos máquinas virtuales vmm(4) que ejecutan la última instantánea de amd64: test1$ doas ifconfig wg0 create wgport 9999 wgkey `openssl rand -base64 32` test1$ doas ifconfig wg0 wgpeer PvZvkFVrCX9bV1JG4BkGqRhmcbXt9KG3INwUJSbT7mE= wgendpoint fe80::fce1:bbff:fed1:c6db%vio0 9999 wgaip 10.0.0.1/32 test1$ doas ifconfig wg0 10.0.0.2/24 test1$ doas ifconfig wg0 wg0: flags=80c3 mtu 1420 index 6 priority 0 llprio 3 wgport 9999 wgpubkey 5nYUSIRp3RlfRclN7Fz5KtFnLCECxxHJmL9TLmwE0A8= wgpeer PvZvkFVrCX9bV1JG4BkGqRhmcbXt9KG3INwUJSbT7mE= wgendpoint fe80:1::fce1:bbff:fed1:c6db 9999 tx: 2608, rx: 2608 last handshake: 82 seconds ago wgaip 10.0.0.1/32 groups: wg inet 10.0.0.2 netmask 0xffffff00 broadcast 10.0.0.255 Y: test2$ doas ifconfig wg0 create wgport 9999 wgkey `openssl rand -base64 32` test2$ doas ifconfig wg0 wgpeer 5nYUSIRp3RlfRclN7Fz5KtFnLCECxxHJmL9TLmwE0A8= wgendpoint fe80::fce1:bbff:fed1:c6d9%vio0 9999 wgaip 10.0.0.2/32 test2$ doas ifconfig wg0 10.0.0.1/24 test2$ doas ifconfig wg0 wg0: flags=80c3 mtu 1420 index 5 priority 0 llprio 3 wgport 9999 wgpubkey PvZvkFVrCX9bV1JG4BkGqRhmcbXt9KG3INwUJSbT7mE= wgpeer 5nYUSIRp3RlfRclN7Fz5KtFnLCECxxHJmL9TLmwE0A8= wgendpoint fe80:1::fce1:bbff:fed1:c6d9 9999 tx: 2608, rx: 2608 last handshake: 123 seconds ago wgaip 10.0.0.2/32 groups: wg inet 10.0.0.1 netmask 0xffffff00 broadcast 10.0.0.255 Con eso, se crean y configuran las interfaces wireguard en test1 y test2. Ahora puede alcanzar uno del otro a través de la VPN: test1$ ping -c 3 10.0.0.1 PING 10.0.0.1 (10.0.0.1): 56 data bytes 64 bytes from 10.0.0.1: icmp_seq=0 ttl=255 time=1.484 ms 64 bytes from 10.0.0.1: icmp_seq=1 ttl=255 time=1.309 ms 64 bytes from 10.0.0.1: icmp_seq=2 ttl=255 time=1.549 ms --- 10.0.0.1 ping statistics --- 3 packets transmitted, 3 packets received, 0.0% packet loss round-trip min/avg/max/std-dev = 1.309/1.447/1.549/0.101 ms