From 05f8202714d7fe00a274635e1ece13652ac4899b Mon Sep 17 00:00:00 2001
From: Sergey Matveev <stargrave@stargrave.org>
Date: Mon, 9 Nov 2020 15:33:18 +0300
Subject: [PATCH] =?utf8?q?=D0=9F=D0=BE=D1=87=D0=B5=D0=BC=D1=83=20IPsec=20?=
 =?utf8?q?=D0=B2=D0=BC=D0=B5=D1=81=D1=82=D0=BE=20WireGuard=3F?=
MIME-Version: 1.0
Content-Type: text/plain; charset=utf8
Content-Transfer-Encoding: 8bit

Ð 1d5bc1731a1e8f77fed6e7c60bbdeb9db421a87d Ð½Ð°Ð¿Ð¸ÑÐ°Ð» ÑÑÐ¾ Ð²ÑÑ ÑÐ°Ð²Ð½Ð¾
Ð¸ÑÐ¿Ð¾Ð»ÑÐ·ÑÑ IPsec Ð¿Ð¾ Ð²Ð¾Ð·Ð¼Ð¾Ð¶Ð½Ð¾ÑÑÐ¸. ÐÑÐ»Ð¸ Ð·Ð°Ð±ÑÑÑ Ð¿ÑÐ¾ ÑÐ¾, ÑÑÐ¾ IPsec ÑÐµÑÐ½Ð¾
Ð¸Ð½ÑÐµÐ³ÑÐ¸ÑÐ¾Ð²Ð°Ð½ Ð² ÐÐ¡/ÑÐ´ÑÐ¾ Ð¸ Ð¿Ð¾Ð·Ð²Ð¾Ð»ÑÐµÑ Ð´ÐµÐ»Ð°ÑÑ Ð´Ð°Ð»ÐµÐºÐ¾ Ð½Ðµ ÑÐ¾Ð»ÑÐºÐ¾ VPN ÑÑÐ½Ð½ÐµÐ»Ð¸,
ÑÐ¾ Ð²ÑÑ ÑÐ°Ð²Ð½Ð¾ Ð¾ÑÑÐ°ÑÑÑÑ Ð²Ð¾Ð¿ÑÐ¾Ñ ÑÑÑÐµÐºÑÐ¸Ð²Ð½Ð¾ÑÑÐ¸.

IPsec ESP ÑÑÐ¾ Ð¾ÑÐ´ÐµÐ»ÑÐ½ÑÐ¹ ÑÐ¸Ð¿ IP-Ð¿Ð°ÐºÐµÑÐ°, Ð² ÐºÐ¾ÑÐ¾ÑÐ¾Ð¼ (Ð´Ð»Ñ AES-GCM) : SPI
(4B) + SEQ (4B) + IV (8B) + padLen (1B) + PAD (0-3B) + NextHdr (1B) = 18
+ 0-3 Ð±Ð°Ð¹ÑÐ° overhead. ÐÑÐ¸ÑÑÐ¼ Ð¾Ñ IV (Ð²Ð¼ÐµÑÑÐ¾ Ð½ÐµÐ³Ð¾ Ð¸ÑÐ¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÑ ESN) Ð¸Ð»Ð¸
SEQ Ð¼Ð¾Ð¶Ð½Ð¾ Ð±ÑÐ»Ð¾ Ð±Ñ Ð´Ð»Ñ AEAD-Ð¾Ð² Ð³Ð´Ðµ ÑÑÐ¾ Ð²ÑÑ ÑÑÑÑÑÐ¸ÐºÐ¸ Ð¸ Ð¸Ð·Ð±Ð°Ð²Ð¸ÑÑÑÑ ÑÐ¶, Ð½Ð¾
ÑÑÐ°Ð½Ð´Ð°ÑÑÑ Ð³Ð»Ð°ÑÑÑ Ð²Ð¾Ñ ÑÐ°Ðº.

WireGuard (Ð¸Ð· ÐµÐ³Ð¾ whitepaper): type+reserved (4B) + counter (8B) + I_m
(4B) + UDP Ð·Ð°Ð³Ð¾Ð»Ð¾Ð²Ð¾Ðº (8B) = 24 Ð±Ð°Ð¹ÑÐ°. Ð Ð»ÑÐ±Ð¾Ð¼ ÑÐ»ÑÑÐ°Ðµ ÑÑÑÑ Ð±Ð¾Ð»ÑÑÐµ ESP.
ÐÐ¾, Ð¿ÑÐ¸ ÑÑÐ¾Ð¼ ÐµÑÑ Ð¸ CRC Ð½Ð°Ð´Ð¾ ÑÑÐ¸ÑÐ°ÑÑ Ð² UDP Ð·Ð°Ð³Ð¾Ð»Ð¾Ð²ÐºÐµ! Ð¥Ð¾ÑÑ Ð¾Ð½ Ð¸ Ð½Ðµ Ð½ÑÐ¶ÐµÐ½,
Ð¸Ð±Ð¾ Ð¸ ÑÐ°Ðº Ð´Ð°Ð½Ð½ÑÐµ Ð°ÑÑÐµÐ½ÑÐ¸ÑÐ¸ÑÐ¸ÑÑÑÑÑÑ. Ð¢Ð°Ðº ÑÑÐ¾ Ð´Ð°Ð¶Ðµ Ð² ÑÐµÐ¾ÑÐ¸Ð¸ Ð¾Ð½ Ð»ÑÐ±Ð¾Ð¼
ÑÐ»ÑÑÐ°Ðµ ÑÑÑÑ Ð¼ÐµÐ½ÐµÐµ ÑÑÑÐµÐºÑÐ¸Ð²ÐµÐ½. ÐÐ° Ð¿ÑÐ°ÐºÑÐ¸ÐºÐµ Ð¿Ð°ÑÑÐ¸Ð½Ð³ ESP Ð²Ð¾Ð·Ð¼Ð¾Ð¶Ð½Ð¾ Ð¾ÑÑÐµÐ´Ð°ÐµÑ
Ð¸ Ð±Ð¾Ð»ÑÑÐµ CPU Ð¸Ð·-Ð·Ð° if-Ð¾Ð² Ð²ÑÑÐºÐ¸Ñ, Ð½Ð¾ ÑÑÐ¾ ÑÐ¶Ðµ Ð²Ð¾Ð¿ÑÐ¾Ñ ÐºÐ¾Ð½ÐºÑÐµÑÐ½Ð¾Ð¹
ÑÐµÐ°Ð»Ð¸Ð·Ð°ÑÐ¸Ð¸, ÐºÐ¾ÑÐ¾ÑÑÑ Ð¼Ð¾Ð¶Ð½Ð¾ Ð¸ ÑÐ¿ÑÐ¾ÑÑÐ¸ÑÑ/ÑÑÐºÐ¾ÑÐ¸ÑÑ.

ÐÑ Ð° ChaCha20+Poly1305 Ð´Ð»Ñ ESP ÑÐ¶Ðµ ÐµÑÑÑ: https://tools.ietf.org/html/rfc7634

Ð ÐµÑÐ»Ð¸ Ð¼Ð½Ðµ Ð½ÑÐ¶Ð½Ð¾ Ð¾Ð±ÐµÑÐ¿ÐµÑÐ¸ÑÑ Ð·Ð°ÑÐ¸ÑÑ ÑÐ¾Ð»ÑÐºÐ¾ Ð¼ÐµÐ¶Ð´Ñ Ð´Ð²ÑÐ¼Ñ IP-Ð°Ð´ÑÐµÑÐ°Ð¼Ð¸, Ð´Ð²ÑÐ¼Ñ
ÑÐ¾ÑÑÑÐ¼Ð¸, ÑÐ¾ Ð² WireGuard-Ðµ Ð¿ÑÐ¸ÑÐ»Ð¾ÑÑ Ð±Ñ ÑÐ¸ÑÑÐ¾Ð²Ð°ÑÑ IP-Ð¿Ð°ÐºÐµÑÑ -- ÑÑÐ¾ Ð¶Ðµ VPN,
Ð° Ð² IPsec Ð¸ÑÐ¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÑ ÑÑÐ°Ð½ÑÐ¿Ð¾ÑÑÐ½ÑÐ¹ ÑÐµÐ¶Ð¸Ð¼ Ð³Ð´Ðµ Ð²Ð½ÑÑÑÐ¸ ESP Ð±ÑÐ´ÐµÑ Ð»ÐµÐ¶Ð°ÑÑ
ÑÑÐ°Ð·Ñ Ð¶Ðµ TCP/UDP/SCTP/whatever. ÐÐ¾ ÑÑÐ¾ ÐºÐ¾Ð½ÐµÑÐ½Ð¾ Ð²Ð¾Ð¿ÑÐ¾Ñ ÑÐµÑÐ°ÐµÐ¼ÑÑ Ð·Ð°Ð´Ð°Ñ. ÐÐ¾
Ð²Ð¾Ñ Ñ Ð¼ÐµÐ½Ñ Ð¿Ð¾ ÑÐ°ÐºÑÑ Ð½Ð¸Ð³Ð´Ðµ Ð½ÐµÑ ÑÑÐ½Ð½ÐµÐ»ÑÐ½Ð¾Ð³Ð¾ ÑÐµÐ¶Ð¸Ð¼Ð° IPsec, ÑÐ¾ÑÑ ÐµÑÑÑ Ð¿Ð°ÑÐ°
ÑÑÐ½Ð½ÐµÐ»ÐµÐ¹ gif-ÑÑÐ½Ð½ÐµÐ»ÐµÐ¹ Ð¼ÐµÐ¶Ð´Ñ Ð´Ð²ÑÐ¼Ñ ÑÐ¾ÑÑÐ°Ð¼Ð¸, Ð° Ð² Ð¾ÑÑÐ°Ð»ÑÐ½Ð¾Ð¼ ÑÐ¾Ð»ÑÐºÐ¾
ÑÑÐ°Ð½ÑÐ¿Ð¾ÑÑÐ½ÑÐµ Ð¼ÐµÐ¶Ð´Ñ ÑÐ¾ÑÑÐ°Ð¼Ð¸, ÑÑÐ¾Ð±Ñ Ð½Ðµ Ð³Ð¾ÑÐ¾Ð´Ð¸ÑÑ Ð¼ÐµÐ¶Ð´Ñ Ð½Ð¸Ð¼Ð¸ Ð½Ð¸ÐºÐ°ÐºÐ¸Ñ
ÐºÐ¾ÑÑÑÐ»ÐµÐ¹ Ð² Ð²Ð¸Ð´Ðµ TLS.
-- 
2.50.0