发布来自土法炼钢兴趣小组的知识、笔记、进展和应用。主题包括数据结构和算法、编程语言、网络安全、密码学等。
共 11 篇文章 · 返回首页
WireGuard 用不到 4000 行内核代码替代了 IPSec/IKE 数十万行的协议栈——这不是少写功能，而是用固定密码学原语、固定握手模式和 cryptokey routing 这三个设计决定，换掉了证书体系、协商机和 SPD/SAD 分离。本文钻进源码和协议握手过程，逐层拆解 cryptokey routing 的双向执行、Noise IKpsk2 的 1.5 RTT 握手（含四次 ECDH 的安全属性贡献）、内核多核队列架构、timer 状态机、cookie DoS 防御和三密钥对轮换。
WireGuard 不是把 IPSec 写短一点。NDSS 2017 论文把「正确分层」当成复杂度的来源，用 cryptokey routing、固定原语与带外密钥分发换可审计实现。本文钉住这些设计决定及其边界。
对齐 wireguard.com/protocol 与 NDSS 2017：IKpsk2 消息布局、es/ss/ee/se 四次 DH 的安全贡献、1.5 RTT key confirmation、MAC1/MAC2 cookie，以及 messages.h 中的 rekey 常量。
基于 Linux 6.6 drivers/net/wireguard：wg_xmit 与 AllowedIPs trie、noise 握手入口、encrypt/decrypt worker、messages.h 常量与 netlink 配置面。与 network/89 全景文互补。
在 WSL2 Linux 6.6 上用双 netns + veth 实测 WireGuard 握手与 ping；整理 wg/wg-quick 工作流、AllowedIPs 与 FIB 脱节、漫游、MTU 与明确不适用场景。
Dowling–Paterson 对 1.5 RTT confirmation 的证明障碍、Donenfeld 的回应、netdev 上「无算法协商」争论、PSK 量子权宜之计，以及 WireGuard 作为 ZTNA 数据面的边界与开放问题。
从 Donenfeld NDSS 2017 的设计哲学出发，拆解 Noise IKpsk2、内核数据路径、运维实践与形式化验证争论——把 WireGuard 从「好用的 VPN」讲成可核对的协议与系统。
Zero Trust Network Access（ZTNA）是零信任架构中直接替代 VPN 的组件——它把'拨入内网'变成'按应用授权'。本文拆解 SDP 协议的三个阶段、SPA 单包授权的'端口隐藏'机制、Agent-based vs Agentless ZTNA 的实现差异，以及自建 ZTNA 技术栈的可行性。
隧道是 overlay 网络的基础设施。本文从 Linux 6.6 内核源码拆解四类隧道协议的实现：ip_tunnel 通用框架与 struct ip_tunnel_key 元数据、IPIP 最小开销封装、GRE 可选头部与 ERSPAN 集成、VXLAN 的 UDP 封装路径与 FDB 转发表、metadata mode 流式隧道与 OVS/Cilium 集成、WireGuard 的 Noise 协议与加密路由模型，以及各协议的封装开销与硬件卸载能力对比。
VPN 是企业网络互联和远程访问的核心技术。本文从 IPSec 的 IKE/ESP/AH 协议栈、WireGuard 的 Cryptokey Routing 设计、OpenVPN 的 TLS 隧道模型，到三者在性能、安全、运维复杂度上的工程对比，系统讲解 VPN 技术的选型与部署实践。
Linux 路由表、FIB 查找、策略路由，以及 VXLAN/Geneve/WireGuard 隧道技术深度拆解