WireGuard

WireGuard je protokol a software pro vytváření VPN – šifrovaných tunelů mezi zařízeními. Navrhl ho bezpečnostní výzkumník Jason A. Donenfeld s cílem, aby byl jednodušší, rychlejší a snáze ověřitelný než starší řešení, například OpenVPN nebo IPsec.

V březnu 2020 se WireGuard stal součástí jádra Linuxu od verze 5.6 a dnes existují klienti pro Windows, macOS, iOS, Android i BSD. Používá ho většina komerčních poskytovatelů VPN, domácí routery i nástroje pro propojování vlastních zařízení.

Jak WireGuard funguje

Každé zařízení (peer) má pár klíčů podobně jako u SSH. Do konfigurace se zapíše veřejný klíč protistrany a rozsahy IP adres, které přes ni smějí procházet – tento princip se nazývá cryptokey routing. Spojení se naváže krátkou výměnou zpráv a klíče relace se automaticky obnovují každých pár minut.

Provoz jde výhradně přes UDP. Server neodpovídá na pakety, které nejsou podepsané známým klíčem, takže je pro skenování sítě prakticky neviditelný. Pokud změníte síť – třeba přejdete z Wi-Fi na mobilní data –, tunel pokračuje bez nového přihlašování.

Kryptografie a malý kód

WireGuard nevyjednává šifry. Používá pevnou sadu moderních algoritmů: rámec Noise pro výměnu klíčů, Curve25519, ChaCha20-Poly1305 pro šifrování a BLAKE2s pro hašování. Pokud by se v některém algoritmu našla slabina, řeší se to novou verzí protokolu, ne volbami v konfiguraci, které by šlo špatně nastavit.

Jádro implementace má jen několik tisíc řádků kódu, zatímco starší VPN řešení spolu s knihovnami mají řádově víc. Menší kód se snáz audituje a má méně míst, kde se může skrývat chyba. Protokol byl také formálně ověřen v akademických pracích.

Výhody a omezení

Hlavními výhodami jsou rychlost, nízká latence a nízká spotřeba baterie, což ocení hlavně mobilní zařízení. Konfigurace je krátká a přehledná. Na druhou stranu WireGuard nepodporuje TCP, takže v sítích, které UDP blokují, se nemusí připojit, a sám o sobě neřeší správu uživatelů ani přidělování adres.

Pro soukromí je důležitý detail: server si v paměti drží poslední veřejnou IP adresu každého připojeného zařízení a v tunelu má každý peer pevně přidělenou vnitřní adresu. Poskytovatelé VPN to řeší vlastními úpravami, například dynamickým přidělováním adres a mazáním údajů po odpojení. Jak vybírat poskytovatele, najdete v kategorii VPN.

K čemu se WireGuard používá

Komerční VPN aplikace ho nabízejí jako rychlý protokol, často pod vlastním názvem. Správci jím propojují pobočky, servery v cloudu nebo připojují zaměstnance. Doma si jím můžete zpřístupnit síť přes router, který WireGuard server podporuje.

Na WireGuardu stojí i nástroje typu mesh VPN, které automaticky rozdělují klíče a propojují zařízení přímo mezi sebou. Při ruční konfiguraci dbejte na to, aby soukromé klíče zůstaly jen na daném zařízení.

Časté dotazy

Kde stáhnout WireGuard?

Oficiální klienty najdete na stránce projektu a v obchodech s aplikacemi pro Windows, macOS, iOS a Android. V Linuxu je součástí jádra a nástroje stačí doinstalovat ze správce balíčků.

Je WireGuard bezpečnější než OpenVPN?

Oba jsou při správném nastavení bezpečné. WireGuard má menší kód a méně voleb, které lze pokazit, OpenVPN má delší historii a větší pružnost.

Je WireGuard zdarma?

Ano, je to open-source software. Platí se až za server nebo za službu VPN, která WireGuard používá.

Proč se WireGuard v některých sítích nepřipojí?

WireGuard funguje jen přes UDP. Pokud síť UDP blokuje nebo povoluje jen webové porty, spojení nevznikne a je třeba použít protokol, který podporuje TCP.