【Cilium / eBPF】透明加密：WireGuard / IPsec 的路径税与失败模式
聚焦 Cilium v1.20 透明加密如何挂接节点密钥与数据面路径：WireGuard 与 IPsec 的覆盖范围、strict mode、发现窗口明文泄漏，以及路径税与失败表象；密码学细节外链 wireguard 系列。
wireguard 标签归档
共 15 篇文章 · 返回首页
【Cilium / eBPF】排障坐标系：丢包、policy deny、identity 漂移、Service 黑洞与加密失败
按五轴映射 Cilium 东西向故障：通用丢包、Policy denied、identity 漂移窗口、Service/ClusterIP 黑洞、透明加密失败；每轴绑定 status/Hubble/map 层，一次否证一轴。
【网络工程】WireGuard 内部实现：Cryptokey Routing、Noise IK 握手与内核数据路径
WireGuard 用不到 4000 行内核代码替代了 IPSec/IKE 数十万行的协议栈——这不是少写功能，而是用固定密码学原语、固定握手模式和 cryptokey routing 这三个设计决定，换掉了证书体系、协商机和 SPD/SAD 分离。本文钻进源码和协议握手过程，逐层拆解 cryptokey routing 的双向执行、Noise IKpsk2 的 1.5 RTT 握手（含四次 ECDH 的安全属性贡献）、内核多核队列架构、timer 状态机、cookie DoS 防御和三密钥对轮换。
【WireGuard】深度探讨：形式化证明、密码敏捷性与后量子
Dowling–Paterson 对 1.5 RTT confirmation 的证明障碍、Donenfeld 的回应、netdev 上「无算法协商」争论、PSK 量子权宜之计，以及 WireGuard 作为 ZTNA 数据面的边界与开放问题。
WireGuard 深度系列：从设计哲学到内核实现
从 Donenfeld NDSS 2017 的设计哲学出发，拆解 Noise IKpsk2、内核数据路径、运维实践与形式化验证争论——把 WireGuard 从「好用的 VPN」讲成可核对的协议与系统。
【IPSec】架构：SPD、SAD 与「正确分层」
RFC 4301 把「要不要保护」与「用哪把密钥」拆成 SPD 与 SAD。本文钉住安全关联、选择器、传输/隧道模式，并与 WireGuard cryptokey routing 做公理对照——不复述选型口号。
【IPSec】深度探讨：形式化证明、密码敏捷性与后量子
用 Cremers ESORICS 2011 的 IKEv2 形式化结论、RFC 9370 混合密钥交换与 Gazdag 等对 PQ 扩展的 Tamarin 分析，对照 WireGuard 的无协商立场，收束何时仍应选择 IPsec。
【网络工程】VPN 技术工程对比：IPSec vs WireGuard vs OpenVPN
VPN 是企业网络互联和远程访问的核心技术。本文从 IPSec 的 IKE/ESP/AH 协议栈、WireGuard 的 Cryptokey Routing 设计、OpenVPN 的 TLS 隧道模型，到三者在性能、安全、运维复杂度上的工程对比，系统讲解 VPN 技术的选型与部署实践。
【WireGuard】设计哲学：故意的分层破坏与密码学观点
WireGuard 不是把 IPSec 写短一点。NDSS 2017 论文把「正确分层」当成复杂度的来源，用 cryptokey routing、固定原语与带外密钥分发换可审计实现。本文钉住这些设计决定及其边界。
【WireGuard】协议原理：Noise IKpsk2、四次 DH 与 Cookie
对齐 wireguard.com/protocol 与 NDSS 2017：IKpsk2 消息布局、es/ss/ee/se 四次 DH 的安全贡献、1.5 RTT key confirmation、MAC1/MAC2 cookie，以及 messages.h 中的 rekey 常量。
【WireGuard】内核代码路径：从 wg_xmit 到加解密 worker
基于 Linux 6.6 drivers/net/wireguard：wg_xmit 与 AllowedIPs trie、noise 握手入口、encrypt/decrypt worker、messages.h 常量与 netlink 配置面。与 network/89 全景文互补。
【WireGuard】使用与运维：netns 实测、AllowedIPs 与故障模式
在 WSL2 Linux 6.6 上用双 netns + veth 实测 WireGuard 握手与 ping；整理 wg/wg-quick 工作流、AllowedIPs 与 FIB 脱节、漫游、MTU 与明确不适用场景。
【零信任安全架构】软件定义边界与 ZTNA：VPN 替代方案的协议与产品对比
Zero Trust Network Access（ZTNA）是零信任架构中直接替代 VPN 的组件——它把'拨入内网'变成'按应用授权'。本文拆解 SDP 协议的三个阶段、SPA 单包授权的'端口隐藏'机制、Agent-based vs Agentless ZTNA 的实现差异，以及自建 ZTNA 技术栈的可行性。
【Linux 网络子系统深度拆解】隧道协议内核实现：VXLAN、IPIP、GRE 与 WireGuard
隧道是 overlay 网络的基础设施。本文从 Linux 6.6 内核源码拆解四类隧道协议的实现：ip_tunnel 通用框架与 struct ip_tunnel_key 元数据、IPIP 最小开销封装、GRE 可选头部与 ERSPAN 集成、VXLAN 的 UDP 封装路径与 FDB 转发表、metadata mode 流式隧道与 OVS/Cilium 集成、WireGuard 的 Noise 协议与加密路由模型，以及各协议的封装开销与硬件卸载能力对比。
【Kubernetes 网络深度系列】路由与隧道：Linux 怎么决定一个包往哪走
Linux 路由表、FIB 查找、策略路由，以及 VXLAN/Geneve/WireGuard 隧道技术深度拆解