发布来自土法炼钢兴趣小组的知识、笔记、进展和应用。主题包括数据结构和算法、编程语言、网络安全、密码学等。
共 4 篇文章 · 返回首页
WireGuard 用不到 4000 行内核代码替代了 IPSec/IKE 数十万行的协议栈——这不是少写功能，而是用固定密码学原语、固定握手模式和 cryptokey routing 这三个设计决定，换掉了证书体系、协商机和 SPD/SAD 分离。本文钻进源码和协议握手过程，逐层拆解 cryptokey routing 的双向执行、Noise IKpsk2 的 1.5 RTT 握手（含四次 ECDH 的安全属性贡献）、内核多核队列架构、timer 状态机、cookie DoS 防御和三密钥对轮换。
从 Donenfeld NDSS 2017 的设计哲学出发，拆解 Noise IKpsk2、内核数据路径、运维实践与形式化验证争论——把 WireGuard 从「好用的 VPN」讲成可核对的协议与系统。
作为 WireGuard 系列的对照续作：拆解 RFC 4301 的 SPD/SAD、IKEv2 握手与密钥树、ESP/NAT-T、Linux 6.6 xfrm 与 strongSwan 落盘，并以形式化分析与后量子混合 KE 收束选型边界。
VPN 是企业网络互联和远程访问的核心技术。本文从 IPSec 的 IKE/ESP/AH 协议栈、WireGuard 的 Cryptokey Routing 设计、OpenVPN 的 TLS 隧道模型，到三者在性能、安全、运维复杂度上的工程对比，系统讲解 VPN 技术的选型与部署实践。