WireGuard虚拟专用网:它在目前的状态下对生产有多安全？

Question

在我们的项目中，我们必须构建一个VPN才能进入NAT后面的计算机。我以前从来没做过。在寻找合适的软件时，我偶然发现了WireGuard，它声称非常简单。

经过一些阅读之后，我确实能够设置一个8行长配置文件的服务器和一个9行长配置的客户端(NAT后面)。

这个链接在两个方向上都很完美。在那之后，出于明显的原因，我不想触及任何其他选择。WG正在走向主流Linux内核的路上，但它还没有出现。

协议是正式核实，技术白皮书也存在。然而，不应该“依赖”网站索赔 WireGuard。

从信息安全的角度来看，在目前的生产状态下使用WG有多大的风险？什么是潜在的麻烦？

更新:到2020年，WireGuard已经进入了主流的Linux内核，所以已经准备好生产了。

Answer 1

嗯，我对WireGuard也很兴奋。已经有安卓、macOS、视窗(第三方关闭源代码)和OpenBSD客户，这表明该项目有着坚实的未来。与ip-link的紧密集成似乎也是一个额外的好处，而配置也是一个不需要考虑的问题。

但是，如果您查看主页，特别是"关于项目“部分，您将看到在生产中使用它的警告：

关于项目正在进行中的工作，WireGuard尚未完成。您不应该依赖此代码。它还没有经过适当程度的安全审核，协议还有待修改。我们正在努力开发一个稳定的1.0版本，但那个时候还没有到来。有一些带有“0.0.YYYMMDD”标记的实验性快照，但这些快照不应被视为真正的版本，它们可能包含安全漏洞(这将不符合CVEs的要求，因为这是预发布快照软件)。如果您正在打包WireGuard，则必须更新快照。然而，如果你对帮助感兴趣，我们真的可以利用你的帮助，我们随时欢迎任何形式的反馈和评论。目前，项目待办事项列表上有很多工作要做，测试的人员越多，越好。

从根本上说，这个项目可以有CVEs，它正处于大发展和不断变化之中。也许它不适合你的组织。此外，没有开源Windows客户端，也没有依赖tun/tap设备的客户端。

Answer 2

自那以后，网站上的文本发生了变化，WireGuard现在被认为基本上是稳定的：

WireGuard的一些部分正在开发一个稳定的1.0版本，而其他部分已经在那里了。当前的快照一般都是版本“0.0.YYYMMDD”或"0.0.V"，但是这些快照不应该被视为真正的版本，它们可能包含安全漏洞(因为这是预发布快照软件，因此不符合CVEs的要求)。目前的版本通常是版本"1.x.YYYYMMDD“。