skobkin 21 августа 2020 в 15:40

В RouterOS 7 добавили поддержку WireGuard

На официальном форуме MikroTik в разделе "RouterOS v7 BETA" появилось сообщение с изменениями в последнем билде 7.1beta2.

Среди изменений связанных с оптимизациями и исправлением ошибок оказался неожиданный и, пожалуй, для многих радостный пункт: поддержка WireGuard.

Wireguard — свободная реализация point-to-point VPN с открытым исходным кодом.
Работая как модуль ядра Linux, он нацелен на улучшение производительности и энергосбережения по сравнению с IPsec и OpenVPN.

Ранее в версии 7.0beta7 ядро Linux, на котором основана ОС было обновлено до версии 5.6.3, а начиная с ветки 5.6 WireGuard был включён в состав ядра. Но учитывая то как в предыдущие годы обстояли дела, например, с поддержкой OpenVPN такого развития событий ожидать было достаточно сложно.

Только зарегистрированные пользователи могут участвовать в опросе. Войдите, пожалуйста.

Вы ждали добавления WireGuard?

33,3%Ждали и верили, что добавят!84
21,4%Ждали, но не верили, что добавят.54
24,2%Не ждали.61
21,0%Что такое WireGuard?53

Вам нравится развитие RouterOS в новой версии?

90,4%Да132
9,6%Нет14

Теги:

Хабы:

Комментарии 38

sintez 21 августа 2020 в 15:49
+1
Сходил по ссылке, прочитал что такое WireGuard. Думаю стоило хотя бы один абзац, про WireGuard добавить в саму статью.
- skobkin 21 августа 2020 в 15:54
  +3
  Постил в профильных хабах — думал, что это название не будет особой новостью для кого-то.
  Посмотрю, где можно взять коротенький бриф про WireGuard.
  - sintez 21 августа 2020 в 16:00
    
    0
    Спасибо! Думаю будет полезно :) можно просто под dropdown спрятать коротенькую справку
    - skobkin 21 августа 2020 в 16:17
      
      0
      
      Я сделал очень коротких бриф в виде цитаты чтобы не пришлось делать кат у новости — туда банально нечего прятать.
      Хотя, конечно, пришлось немного отредактировать текст чтобы влезть в тысячу символов.
JerleShannara 21 августа 2020 в 15:58
+2
Если WireGuard на тике будет работать как на обычном ПК, то будет круто, ну а если это будет в духе поддержки OpenVPN-а микротиком, то лучше не надо.
- gudvinr 21 августа 2020 в 16:08
  0
  На форуме микротика были графики от сотрудника с загрузкой в предел канала на hAP ac2.
  - skobkin 21 августа 2020 в 16:19
    
    +3
    Тут речь, скорее, не о графиках шла, а о том, что OpenVPN в микротиках не умел работать по UDP и имел проблемы со сжатием, что автоматически отрезало его от большинства современных серверов.
    
    Кстати, если есть ссылочка на бенчмарки — было бы интересно посмотреть.
    - gudvinr 21 августа 2020 в 16:28
      
      0
      
      Кстати, если есть ссылочка на бенчмарки — было бы интересно посмотреть.
      Ссылочка
      Возможно нужна регистрация, картинку копировать не стал.
      
      не умел работать по UDP
      Wireguard не умеет в TCP by-design, плюс в ROS7 используется linux 5.6, соответственно реализация WG ядерная, а не самопал, как в случае c OpenVPN
      - skobkin 21 августа 2020 в 16:41
        
        0
        
        Wireguard не умеет в TCP by-design
        
        Это не является такой проблемой как было в случае с OpenVPN. У OpenVPN UDP — это один из вариантов конфигурации, являющийся очень популярным. MikroTik не поддерживая его становится неспособным работать с многими серверами.
        
        «Один клиент не умеет» и «Протокол не предусматривает» — это совсем разные вещи.
        
        Ссылочка
        Возможно нужна регистрация, картинку копировать не стал.
        
        Благодарю. Регистрация нужна, но это не страшно. Давайте я вытащу под спойлер.
        
        Скриншот
        
        nApoBo3 21 августа 2020 в 21:38
        
        0
        
        Примерно столько же они выжимают и из IPsec.
        
        AcidVenom 21 августа 2020 в 22:09
        
        0
        
        Это на каком шифровании?
        
        skobkin 21 августа 2020 в 22:17
        
        0
        
        Если мне не изменяет память, в WireGuard одно единственное поточное шифрование — ChaCha20.
        
        AcidVenom 21 августа 2020 в 22:45
        
        0
        
        Просто для информации.
        IPsec канал в реальности, AES256-CTR
        100-100 каналы, разные провайдеры.
        
        Заголовок спойлера
- skobkin 21 августа 2020 в 16:13
  0
  Ну, WireGuard изначально проще, чем тот же OpenVPN. При этом, если я не ошибаюсь, одна из сложностей с OpenVPN была в том, что сам OpenVPN худо-бедно развивался, а вот его реализация в RouterOS стояла на месте годами.
  Плюс ещё их проблемы со сжатием.
  
  В этом плане у WireGuard, по идее, должна быть меньше вариативность конфигураций, а следовательно, меньше поле для косяков со стороны MikroTik. Плюс эта реализация должна базироваться по большему счёту на API ядра, что тоже должно сказаться на консистентности в положительном ключе.
  - achekalin 21 августа 2020 в 22:29
    
    +1
    А там все было просто: в тике реализация ovpn основана на коде ветки 2.2 (сейчас уже 2.4 у всех, сами понимаете), так что многие фишечки и опции просто мимо кассы, а сил, видимо, впиливать новый вариант просто нет. А может, и желания впилить, а потом поддерживать.
    
    Это же в реализации wg волнует: сейчс поддержку сделали, а будут ли сопровождать? Хотя бы ради дыр в безопасности и полировки стабильности.
    
    А мне еще любопытно: многие модели тика последнее время идут с аппаратной поддержкой крипто, но только для определенных задач/сценариев. IPSec — да, ovpn — ой, нет (ну это и не мудрено, чип просто не умеет такой протокол). Судя по скорости wg на графике — либо умудрились wg ускорить аппаратно, либо проца он кушает как бы не меньше, чем на роутинге и нате (во что не верю).
    - skobkin 21 августа 2020 в 23:36
      
      0
      
      Я бы поставил на то, что в данный момент это просто полностью софтварная реализация ChaCha20. Хотя если они решились чудеса творить — может быть ещё и ускорение сразу сделали.
Maxim_Q 21 августа 2020 в 17:42
–1
Я читал что у тех кто имеет 4ю уровень лицензии не смогут обновиться на 7ю версию. В большинстве домашних роутеров как раз 4й уровень лицензии. Я не знаю возможно что-то поменяли, и когда выйдет стабильная 7я версия с могу обновиться на неё.

Уровни лицензии (смотрите строку: Upgradable to)
- skobkin 21 августа 2020 в 17:46
  0
  У меня в обновлении доступна бета 7 версии. Я даже один раз обновлялся до 7.0beta4, кажется, но у меня тогда точка доступа отвалилась от CAPsMAN и я откатился обратно.
  Но само обновление прошло и базово роутер работал.
  
  А вообще — надо уточнять. Если нельзя обновиться до 7 версии — это очень печально.
  
  UPD: Я обновлял 4011. Там уровень 5 из коробки.
- Barnaby 21 августа 2020 в 18:14
  +2
  У меня 4я лицензия и в дев есть обновление до 7.1beta2 (не ставил). Надеюсь что будет обновление, hAP ac2 не такой уж и старый.
  
  PS: тут пишут что есть обновление до 7.
- jscar 22 августа 2020 в 19:03
  +1
  Не вводите людей в заблуждение.
  
  Ни на одном из оф. ресурсов ( https://wiki.mikrotik.com/wiki/Manual:License, https://help.mikrotik.com/docs/display/ROS/RouterOS+license+keys и т.п.) такой информации нет, более того, на них явно указано «offer unlimited software upgrades»
  - DaemonGloom 22 августа 2020 в 20:06
    
    0
    Такое ограничение было раньше. Но его убрали уже достаточно давно.
    - jscar 22 августа 2020 в 20:29
      
      0
      
      Что бы то ни было «раньше» (а изменению политики обновления, если мне не изменяет память, уже более 6ти лет), на сегодняшний день оно не актуально и является некорректным.
aluminic 21 августа 2020 в 17:46
+1
Лучше бы IPsec VTI добавили
- AcidVenom 21 августа 2020 в 21:17
  0
  Это да. Но и так работает, просто настройка заморочнее.
DrSqaer 21 августа 2020 в 18:38
–1
Добавили бы softether было бы тоже за здорово.
GraimeS 21 августа 2020 в 22:12
+2
Не меньше внимания заслуживает и вот эта строчка
!) added Layer3 hardware offloading support for CRS309-1G-8S+IN, CRS312-4C+8XG-RM, CRS326-24S+2Q+RM and CRS354-48G-4S+2Q+RM;
- skobkin 21 августа 2020 в 22:20
  0
  Да, полезно. Но всяческие аппаратные ускорения они регулярно вводят где-либо. А вот с VPN всё как-то совсем грустно было.
  А в седьмой версии вот ВНЕЗАПНО разродились UDP для OpenVPN и даже WireGuard.
  - Nomad1 22 августа 2020 в 10:25
    
    0
    Они лет 5 обещали это, как и MBIM режим в 7й версии. Так на форуме все и смеялись «в 7-ке будет». Ну вот это время настало. :)
  - GraimeS 23 августа 2020 в 14:36
    
    0
    L3 свитчи у них появляются не часто )
pir1 21 августа 2020 в 22:13
0
Поставил, не нашел клиента похоже они только сервер реализовали.
- skobkin 21 августа 2020 в 22:14
  0
  Хм. Интересно.
  Если это так — надеюсь, это временно.
  Держите в курсе если узнаете подробности.
- WGH 22 августа 2020 в 02:24
  0
  Интересно, как это, с учетом того, что пиры в Wireguard практически симметричны.
- VPNk 22 августа 2020 в 02:57
  0
  Пиры это и есть клиенты, но подружить вин 10 клиент и mikrotik hex через wireguard у меня не получилось. Не проходят хендшейки
- Raifeg 22 августа 2020 в 15:17
  0
  Настроил клиента, всё хорошо работает.
  Единственный момент — порт можно задать только через cli, winbox не позволяет.
  Ну и ещё из нужных мне вещей bgp сломали, пришлось заново настраивать после обновления с 6 версии (тоже через cli, в винбоксе раздел bgp пропал).
  Впрочем, я не в претензии, бета всё-таки. Да и в итоге всё нужное заработало.
  - skobkin 22 августа 2020 в 15:19
    
    0
    Про поломанный роутинг мне ещё про первые альфы 7.0 говорили. Надеюсь, к релизу допилят.
  - spikedviper 22 августа 2020 в 20:33
    
    0
    Через мобильное приложение в бета2 можно порт задать
O-V-K 22 августа 2020 в 15:17
0
Недоделавши _нормально_ одно (OpenVPN), берёмся за другое (Wireguard). Кружок «очумелые руки». Сорри, сугубо личное мнение.
hulitolku 22 августа 2020 в 15:17
0
Вот те раз. А я вчера, как раз из-за него, прошил в свой микрооик openwrt.