Netze und Adressen
WireGuard
Ein kleines, schnelles VPN-Protokoll auf Basis moderner Kryptografie. Ein Schlüsselpaar pro Seite, ein UDP-Port, und es funktioniert hinter NAT.
WireGuard ist ein VPN-Protokoll, das in ein paar tausend Zeilen Code passt. Jede Seite hat einen öffentlichen und einen privaten Schlüssel; ein Tunnel ist eine Paarung von Schlüsseln plus die Adressen, die hindurch dürfen. Es gibt keine Zertifizierungsstelle, kein Aushandeln von Cipher Suites und keinen Zustand, an dem man sich anmeldet: Ein Peer, der den richtigen Schlüssel und einen gültigen Handshake vorweist, ist drin.
Es läuft über UDP auf einem Port Ihrer Wahl, und deshalb funktioniert es hinter NAT und CGNAT: Die Seite hinter dem NAT schickt das erste Paket, die andere Seite antwortet dorthin, woher es kam, und ein Keepalive alle 25 Sekunden hält die Zuordnung offen. Es ist in den Linux-Kernel eingebaut und auf jedem gängigen Router-Betriebssystem, Telefon und Desktop verfügbar.
Neben den üblichen VPN-Einsätzen ist es das, womit Anbieter eine öffentliche IP-Adresse zu Geräten routen, die keine haben: Der Tunnel wird von Ihrer Seite aus aufgebaut, und der Verkehr für die öffentliche Adresse fließt hindurch zu Ihrem Router.