前不久 Ubuntu 20.04 正式 release 了，挺多期待已久的新特性都转正成为了“原生”，如zfs、WireGuard. 而作为一名 gopher, 我留意到，负责维护 golang 标准库中网络相关（net/http）的 committer Bradfitz 前不久从Google离职加入了基于 WireGuard 技术创业公司 Tailscale. 这引发我强烈的好奇，因此 Ubuntu 20.04 发布，自然是要体验一下 WireGuard.

WireGuard 的关键特性

WireGuard 一直宣传自己是现代的快速安全的VPN。快速主要体现在部署的便捷、高性能（通过内核原生+CPU友好的加密算法实现）；安全则是从设计之初就考虑到了了前辈的一些安全问题，以及学院派研究的加持，更多细节可以参考 technical whitepaper. 当然，从当前的limitation看，ID还无法做到前向安全，因此无法做到 no-tracking。

WireGuard 安装及配置

安装直接参考官方Installation文档，配置可以参考 Set Up WireGuard VPN on Ubuntu.

几点疑问及思考

WireGuard 能作为你特殊用途协议吗？

不能。主要原因有两点：

• 协议没有做混淆，也没有隐藏包特征，过不了DPI(Deep Packet Inspection)检测。
• ID非前向安全。因此通信一方compromised以后，会泄露历史通信peer.

WireGuard Server 支持 DDNS 吗？

支持。在一些场景，可能 server 端并没有一个固定IP，这种时候我们一般是使用DDNS将动态IP绑定在一个域名上面。这种场景下，配置client端配置时，将Server Public IP配置为域名即可：

[Peer]
PublicKey = <server public="" key="">
Endpoint = <server ddns="" domain="">:51820
AllowedIPs = 10.0.0.2/24, fd86:ea04:1115::5/64

WireGuard Server 是否可以动态添加 peer？

不可以也可以。因为 WireGuard 理念认为提前设计和分配自己的网络更佳好的方式。不过，也并不是完全没有work around的方式。如果你有动态IP和配置的需求，个人用户可以参考wg-dynamic, 企业用户推荐直接使用 Tailscale 的产品。

一个出生在内核的VPN到底有何特殊的意义？

回到本源，VPN本身的目的是什么？私以为是anytime, anywhere, 简单、快速、安全的网络互联。而这与WireGuard的设计目标是完全一致的。互联网底座这几年的发展趋势之一是加密整个互联网：元老级应用层协议http在发展过程中不断进化，来到http/2 的时候我们看到的一个显著改变那就是 mutilplex 和 force https。而作为更加底层的网络基建VPN却一直没有出现这样的角色。WireGuard的出现让我们看到了这个可能，但也只是一个更好的VPN的定位。而直到20.04确认将其加入内核，为其加密整个网络插上翅膀，我们才有理由相信这个角色到位了。

从这个角度来看，WireGuard无限接近理想的VPN，或者说它重新定义了VPN的初心。因此，不要拿个人日常运动小需求来揣测WireGuard的鸿鹄之志。顺着这个方向继续看，可以看到 WireGuard 的（潜在）应用场景有：

• 远程办公网络基建。传统的VPN能不能解决？能。但是都解决得不好，要么是部署太过复杂，要么协议本身就因为历史原因漏洞一大把。而WireGuard部署成本极低（如果你按照上述文档部署一次，应该不会超过10分钟），全客户端支持，code base 只有4000行，非常容易发现、修复、迭代。而这次疫情的出现，让远程办公成为新常态推进了一大步。但是扪心自问，有多少所谓的远程办公是战斗力残废，又有多少其实是临时让IT开了个网络口子裸奔办公？因此，私以为基于WireGuard的远程办公在未来一两年是能看到几家公司成长起来的。
• 异地多活架构。K8S生态解决单IDC可用性问题是足够的，但是在当前越来越强调稳定、体验产品时代，很多公司都开始走上异地多活的架构。WireGuard可能带来两个契机：1. 云厂商IDC互通的大一统；2. 自主异地多活架构的标准化，而这可能带来一波IDC异地多活网络中间件的开源生态繁荣。
• 智能家居网络路由器。虽然现在的家电只要搭配一个wifi就号称自己是智能家电，但大多数不过是把家电连到厂家的服务器。这只能算是智能家电社会主义初级阶段，未来理想的形态是家庭中的设备与业主anytime, anywhere的互通。以前的解决方案都太trick了，而WireGuard找了个好爹，并且其极低的门槛都有希望在这个系分领域有所建树。

而以上这些，不过是 Bradfitz 的新东家 Tailscale 已经发布的部分创业产品。过两年以后，我会回头再次审视以上判断，说不定，上面的判断全都错了。

–EOF–