WireGuard چیست؟ توضیح پروتکل مدرن وی‌پی‌ان

WireGuard چیست؟

WireGuard یک پروتکل مدرن وی‌پی‌ان است که طراحی شده تا از پیشینیان خود مانند OpenVPN و IKEv2/IPsec ساده‌تر، سریع‌تر و امن‌تر باشد. WireGuard که توسط Jason A. Donenfeld ساخته شد، در نسخه ۵.۶ کرنل لینوکس (مارس ۲۰۲۰) یکپارچه شد و اکنون روی همه سیستم‌عامل‌های اصلی از جمله ویندوز، macOS، iOS و اندروید در دسترس است.

برخلاف پروتکل‌های سنتی وی‌پی‌ان که دهه‌ها پیش ساخته شده‌اند و لایه‌هایی از پیچیدگی را انباشته کرده‌اند، WireGuard رویکردی مینیمالیستی در پیش می‌گیرد. کل کدبیس آن حدود ۴٬۰۰۰ خط کد است — در مقایسه با بیش از ۱۰۰٬۰۰۰ خط OpenVPN. این امر ممیزی آن را آسان‌تر، اجرای آن را سریع‌تر و آن را کمتر مستعد آسیب‌پذیری‌های امنیتی می‌کند.

چرا WireGuard از دیگر پروتکل‌های وی‌پی‌ان بهتر است؟

سرعت و عملکرد

WireGuard به‌طور پیوسته در بنچمارک‌های دنیای واقعی از OpenVPN و IKEv2 پیشی می‌گیرد. دلیلش این است:

• سربار حداقلی: کدبیس سبک به معنای پردازش CPU کمتر به‌ازای هر بسته است
• عملیات در سطح کرنل: WireGuard درون کرنل سیستم‌عامل اجرا می‌شود و جابه‌جایی زمینه (context switching) میان فضای کاربر و فضای کرنل را حذف می‌کند
• رمزنگاری مدرن: از الگوریتم‌هایی بهینه‌شده برای سخت‌افزار مدرن استفاده می‌کند (ChaCha20 روی دستگاه‌های بدون شتاب‌دهی سخت‌افزاری AES سریع‌تر از AES اجرا می‌شود)
• مبتنی بر UDP: از مشکل TCP-روی-TCP که OpenVPN در حالت TCP با آن دست‌وپنجه نرم می‌کند اجتناب می‌کند

WireGuard برای کارایی طراحی شده، اما عملکرد واقعی به دستگاه، شبکه و سرور بستگی دارد و درصد مشخصی را تضمین نمی‌کنیم.

مقایسه WireGuard در برابر OpenVPN در برابر IKEv2

ویژگی	WireGuard	OpenVPN	IKEv2/IPsec
خطوط کد	حدود ۴٬۰۰۰	حدود ۱۰۰٬۰۰۰	حدود ۴۰۰٬۰۰۰
رمزگذاری	ChaCha20-Poly1305	AES-256 (قابل‌پیکربندی)	AES-256 (قابل‌پیکربندی)
تبادل کلید	Curve25519	RSA/ECDH	Diffie-Hellman
پیچیدگی ممیزی	کم	بسیار بالا	بالا
یکپارچگی با کرنل	بله (لینوکس، ویندوز)	خیر (فضای کاربر)	جزئی
سازگاری با موبایل	عالی	ضعیف	خوب

امنیت

WireGuard از مجموعه‌ای به‌دقت انتخاب‌شده از اصول رمزنگاری پیشرفته استفاده می‌کند:

• Curve25519 برای تبادل کلید Diffie-Hellman منحنی بیضوی
• ChaCha20-Poly1305 برای رمزگذاری متقارن احرازهویت‌شده
• BLAKE2s برای درهم‌سازی (hashing) و درهم‌سازی کلیددار
• SipHash24 برای کلیدهای جدول درهم (hashtable)
• HKDF برای اشتقاق کلید

این انتخاب‌ها قابل‌پیکربندی نیستند — و این عمدی است. پروتکل‌های سنتی وی‌پی‌ان ده‌ها ترکیب رمز ارائه می‌دهند که به پیکربندی‌های اشتباه و حملات تنزل (downgrade) می‌انجامد. WireGuard این دسته از آسیب‌پذیری را به‌طور کامل حذف می‌کند.

اگر روزی آسیب‌پذیری‌ای در هر یک از اصول رمزنگاری آن یافت شود، نسخه جدیدی از پروتکل با الگوریتم‌های به‌روزشده منتشر می‌شود. این «نسخه‌بندی رمزنگاری» نامیده می‌شود و توسط پژوهشگران امنیتی مدرن یک بهترین‌شیوه (best practice) محسوب می‌شود.

سادگی و قابلیت ممیزی

با تنها حدود ۴٬۰۰۰ خط کد، WireGuard می‌تواند در بازه زمانی معقولی به‌طور کامل توسط یک پژوهشگر امنیتی ممیزی شود. بیش از ۱۰۰٬۰۰۰ خط OpenVPN، ممیزی جامع را برای تیم‌های کوچک عملاً ناممکن می‌سازد.

این سادگی همچنین به این معناست:

• باگ‌های بالقوه کمتر
• سطح حمله کوچک‌تر
• پیاده‌سازی صحیح آسان‌تر روی پلتفرم‌های جدید
• بار نگهداری کمتر

اتصال مجدد یکپارچه

یکی از ویژگی‌های برجسته WireGuard برای کاربران موبایل، نحوه مدیریت تغییرات شبکه است. هنگامی که از وای‌فای به داده تلفن همراه (یا برعکس) جابه‌جا می‌شوید، WireGuard اتصال را تقریباً آنی بازیابی می‌کند — اغلب در یک رفت‌وبرگشت واحد.

این امر ممکن است چون WireGuard حول مفهوم «رومینگ» ساخته شده — یعنی به مسیر شبکه زیرین اهمیتی نمی‌دهد. تا زمانی که هر دو نقطه پایانی بتوانند به یکدیگر برسند، تونل رمزگذاری‌شده زنده می‌ماند. هیچ وضعیت نشستی برای مذاکره مجدد وجود ندارد.

WireGuard در زیر کاپوت چگونه کار می‌کند

WireGuard در لایه ۳ (لایه شبکه) عمل می‌کند و یک رابط شبکه مجازی (مثلاً wg0) ایجاد می‌کند. این جریان ساده‌شده است:

1. تولید کلید: هر همتا (peer) با استفاده از Curve25519 یک جفت کلید عمومی/خصوصی تولید می‌کند
2. پیکربندی: همتاها کلیدهای عمومی و بازه‌های IP مجاز را خارج از باند (out-of-band) با یکدیگر تبادل می‌کنند
3. دست‌دهی: یک دست‌دهی ۱-RTT (یک زمان رفت‌وبرگشت) با استفاده از چارچوب پروتکل Noise یک راز مشترک برقرار می‌کند
4. تونل: تمام بسته‌های ارسالی به رابط مجازی رمزگذاری شده و از طریق UDP به نقطه پایانی همتا ارسال می‌شوند
5. زنده‌نگه‌داری: بسته‌های اختیاری زنده‌نگه‌داری (keepalive) نگاشت‌های NAT را برای همتاهای پشت دیوارهای آتش حفظ می‌کنند

دست‌دهی هر ۲ دقیقه یک بار رخ می‌دهد تا رازداری کامل رو به جلو (perfect forward secrecy) تضمین شود. حتی اگر کلیدی به خطر بیفتد، از نظر تئوری تنها ۲ دقیقه از ترافیک قابل رمزگشایی خواهد بود.

Palyfox VPN چگونه از WireGuard استفاده می‌کند

Palyfox VPN به‌طور کامل بر پایه پروتکل WireGuard ساخته شده است. هنگامی که متصل می‌شوید:

1. دستگاه شما یک جفت کلید منحصربه‌فرد Curve25519 تولید می‌کند — کلید خصوصی هرگز دستگاه شما را ترک نمی‌کند و به‌صورت امن در کیچین سیستم ذخیره می‌شود
2. کلید عمومی از طریق یک فراخوان API رمزگذاری‌شده به سرور ما ارسال می‌شود
3. سرور یک آدرس IP منحصربه‌فرد از مخزن خود اختصاص می‌دهد و پیکربندی همتای شما را ثبت می‌کند
4. یک تونل WireGuard برقرار می‌شود — تمام ترافیک اینترنت شما از میان این تونل رمزگذاری‌شده جریان می‌یابد
5. IP واقعی شما پنهان می‌شود — وب‌سایت‌ها و سرویس‌ها به‌جای IP شما، IP سرور وی‌پی‌ان را می‌بینند

انتخاب‌های پیاده‌سازی ما

• حریم خصوصی مرور وب و DNS: ما هیچ گزارشی از وب‌گردی یا پرس‌وجوهای DNS شما نگه نمی‌داریم
• دستگاه شما یک جفت کلید منحصربه‌فرد Curve25519 تولید می‌کند — کلید خصوصی هرگز دستگاه شما را ترک نمی‌کند و به‌صورت امن در کیچین سیستم ذخیره می‌شود
• نقشه راه پلتفرم‌ها: اپلیکیشن‌های iOS ما از WireGuard استفاده می‌کنند؛ نسخه‌های macOS، اندروید، ویندوز و لینوکس به‌زودی عرضه می‌شوند
• کلید قطع (kill switch): اپلیکیشن‌های iOS ما دارای کلید قطع هستند؛ در اندروید، از Always-on VPN سیستم همراه با Block connections without VPN استفاده کنید.

پرسش‌های رایج درباره WireGuard

آیا WireGuard برای استفاده روزمره امن است؟

بله. WireGuard به‌طور رسمی توسط چندین پژوهشگر امنیتی مستقل تأیید و ممیزی شده است. از سال ۲۰۲۰ بخشی از کرنل لینوکس بوده، یعنی توسط همان تیمی بازبینی می‌شود که پرکاربردترین کرنل سیستم‌عامل جهان را نگهداری می‌کند.

آیا WireGuard روی همه دستگاه‌ها کار می‌کند؟

WireGuard روی لینوکس، ویندوز، macOS، iOS، اندروید، FreeBSD و OpenBSD در دسترس است. Palyfox VPN اکنون اپلیکیشن‌های بومی iOS را ارائه می‌دهد که پیکربندی WireGuard را به‌صورت خودکار انجام می‌دهند؛ نسخه‌های macOS، اندروید، ویندوز و لینوکس به‌زودی عرضه می‌شوند.

آیا WireGuard می‌تواند توسط دیوارهای آتش مسدود شود؟

WireGuard از UDP استفاده می‌کند و اثرانگشت ترافیکی متمایزی ندارد، که تشخیص و مسدود کردن آن را از OpenVPN دشوارتر می‌سازد. با این حال، بازرسی عمیق بسته (deep packet inspection) در برخی موارد همچنان می‌تواند آن را شناسایی کند.

آیا WireGuard از IPv6 پشتیبانی می‌کند؟

بله، WireGuard به‌طور کامل از تونل‌سازی هر دو IPv4 و IPv6 پشتیبانی می‌کند.

شروع کنید

آماده‌اید سرعت و امنیت WireGuard را تجربه کنید؟ Palyfox VPN را دانلود کنید. اپلیکیشن‌های ما تمام پیکربندی WireGuard را به‌صورت خودکار انجام می‌دهند — به هیچ دانش فنی نیازی نیست.

اگر می‌خواهید درباره مبانی وی‌پی‌ان بیشتر بدانید، راهنمای ما درباره اینکه وی‌پی‌ان چیست و چگونه کار می‌کند را ببینید، یا درباره اینکه چرا حریم خصوصی آنلاین اهمیت دارد در چشم‌انداز دیجیتال امروز بخوانید.