تونل‌های شبکه در طول تاریخ همواره سازوکارهای مسیریابی داده‌ها و لایه‌های حفاظت رمزنگاری را به عنوان دو بخش کاملاً مجزا مدیریت کرده‌اند. در شبکه‌های خصوصی سنتی، سیستم‌عامل ابتدا بسته‌ها را به سوی یک رابط مجازی هدایت می‌کند، سپس قواعد دیواره آتش را روی آن‌ها اعمال نموده و در نهایت بسته‌ها را به پایگاه داده سیاست‌های رمزنگاری می‌سپارد. پروتکل WireGuard این ساختار چندتکه را کنار گذاشته و الگوی نوینی تحت عنوان مسیریابی با کلید رمزنگاری (Cryptokey Routing یا CKR) بنیان نهاده است. با برقراری پیوند مستقیم میان کلیدهای عمومی هر ایستگاه و فهرست زیرشبکه‌های مجاز (AllowedIPs)، وایرگارد فرآیند مسیریابی، جستجوی کلیدهای نشست و ارزیابی هویت فرستنده را در قالب یک عملیات هماهنگ درون هسته لینوکس ادغام می‌کند.

چالش جداسازی سامانه‌های مسیریابی و رمزنگاری در شبکه‌های خصوصی سنتی

در ساختارهای قدیمی نظیر IPsec (سند RFC 4301) و OpenVPN، منطق مسیریابی و پارامترهای امنیتی در دو لایه مستقل عمل می‌کنند. در پیاده‌سازی متداول IPsec روی لینوکس که بر بستر چارچوب XFRM بنا شده، سیستم‌عامل بسته را به سمت رابط شبکه هدایت می‌کند، اما پایگاه داده سیاست‌های امنیتی (SPD) آن را متوقف می‌سازد. هسته باید برای یافتن پیوند امن متناظر در پایگاه داده SAD، چندین فیلد شامل نشانی مبدا، نشانی مقصد، نوع پروتکل و درگاه‌ها را به صورت متوالی جستجو کند.

این شیوه جداسازی چندمرحله‌ای، موانع فنی و آسیب‌پذیری‌های متعددی در پی دارد:

  1. ناهمگامی وضعیت سیستم: چنانچه مدیر شبکه جدول مسیریابی را تغییر دهد ولی سیاست‌های پایگاه SPD را به‌روزرسانی نکند، بسته‌ها ممکن است به ناگاه دور ریخته شده یا به شکل رمزنگاری‌نشده به شبکه‌های عمومی نشت کنند.
  2. پیچیدگی در پیکربندی: ایجاد هماهنگی مداوم میان جداول مسیریابی، فیلترهای دیواره آتش (iptables یا nftables) و سیاست‌های تبدیل IPsec به صدها خط دستور پیچیده نیاز دارد که احتمال خطای انسانی را بالا می‌برد.
  3. افت سرعت در پردازش: جستجوی متوالی فیلدهای چندگانه برای تک‌تک بسته‌ها بخش قابل توجهی از توان پردازنده را مصرف می‌کند و دستیابی به سرعت‌های چند گیگابیتی را با چالش روبرو می‌سازد.

سامانه OpenVPN نیز در فضای کاربری با مشکلی مشابه مواجه است؛ بسته‌ها از طریق رابط‌های مجازی tun یا tap مکرراً میان فضای هسته و فضای کاربر جابه‌جا می‌شوند که این تعویض زمینه بار محاسباتی بالایی تحمیل می‌کند.

الگوی بنیادین: یکپارچه‌سازی هویت ایستگاه و مسیرهای IP با مسیریابی کلید رمزنگاری

مسیریابی با کلید رمزنگاری این مشکل را از طریق یک اصل ساختاری مهار می‌کند: کلید عمومی ثابت Curve25519 متعلق به هر ایستگاه، هم‌زمان هویت رمزنگاری و نشانی مقصد مجاز آن در بستر شبکه محسوب می‌شود.

در وایرگارد، رابط شبکه (مانند wg0) شبیه یک سوئیچ فیزیکی رفتار می‌کند. با این تفاوت که به جای اتصال نشانی‌های فیزیکی MAC به درگاه‌ها، رابط وایرگارد کلیدهای عمومی را به پیشوندهای شبکه پیوند می‌دهد. در پیکربندی هر ایستگاه، ویژگی AllowedIPs شامل فهرستی از محدوده‌های معتبر IPv4 و IPv6 تعیین می‌گردد:

# نمونه پیکربندی ایستگاه در WireGuard
[Peer]
PublicKey = 2b6w8mQv8J7yV9hZ0k1LmNoPqRsTuVwXyZ123456789=
Endpoint = 198.51.100.10:51820
AllowedIPs = 10.200.0.2/32, 2001:db8:cafe:1::2/128

این تعریف شفاف، جریان‌های خروجی و ورودی داده‌ها را با قوانین معین مدیریت می‌کند.

معماری ارزیابی دوگانه: تطبیق بسته‌های خروجی و بررسی سخت‌گیرانه بسته‌های ورودی

وایرگارد پردازش بسته‌ها را در دو گام هماهنگ به انجام می‌رساند:

  • ارسال بسته‌های خروجی (Outbound): وقتی سیستم‌عامل بسته‌ای رمزنگاری‌نشده را به رابط wg0 می‌فرستد، وایرگارد نشانی مقصد آن را بررسی کرده و عملیات طولانی‌ترین تطابق پیشوند (LPM) را روی جدول AllowedIPs انجام می‌دهد تا ایستگاه مقصد مشخص شود. سپس بسته با کلیدهای متقارن ChaCha20-Poly1305 رمزنگاری شده و در قالب یک بسته UDP به نشانی ثبت‌شده ایستگاه ارسال می‌شود.
  • دریافت بسته‌های ورودی (Inbound): هنگامی که بسته رمزنگاری‌شده‌ای به سوکت UDP وارد می‌شود، هسته آن را با کلیدهای نشست حاصل از دست‌تکانی Noise IK رمزگشایی و اصالت‌سنجی می‌کند. پس از رمزگشایی، نشانی مبدا بسته درونی بررسی می‌شود تا اطمینان حاصل گردد که این نشانی دقیقاً در محدوده AllowedIPs تخصیص‌یافته به همان ایستگاه قرار دارد.

پیشگیری از جعل نشانی در سرعت خط: جایگزینی دیواره آتش با مفهوم AllowedIPs

بررسی ورودی بسته‌ها لایه‌ای از محافظت خودکار در برابر جعل نشانی در سرعت خط ایجاد می‌کند. اگر ایستگاهی دستکاری‌شده تلاش کند بسته‌ای با نشانی مبدا جعلی ارسال نماید، وایرگارد به سرعت مغایرت را شناسایی می‌کند:

بررسی بسته رمزگشایی‌شده ورودی:
[کلید عمومی: Key_A] -> نشانی مبدا بسته درونی: 10.200.0.99
جستجو در درخت پیشوندی: نشانی 10.200.0.99 متعلق به Key_B است، نه Key_A.
نتیجه: بسته بدون اتلاف وقت حذف می‌شود (افزایش شمارنده rx_dropped)

از آنجا که این اعتبارسنجی در سطح درایور و پیش از ورود بسته به پشته شبکه اصلی صورت می‌پذیرد، بسته‌های جعلی نمی‌توانند حافظه ARP/NDP را آلوده سازند یا از قواعد شبکه فرار کنند، که این امر جایگزین قواعد سنتی rp_filter می‌شود.

بررسی ساختار هسته لینوکس: پیاده‌سازی درخت پیشوندی در فایل allowedips.c

برای دستیابی به سرعت پردازش در مقیاس میکروثانیه، وایرگارد از پیمایش خطی صرف‌نظر کرده است. در ماژول هسته لینوکس (drivers/net/wireguard/allowedips.c) ساختار بهینه‌سازی‌شده درخت پیشوندی دودویی (Radix Trie) پیاده‌سازی شده است.

سازوکار طولانی‌ترین تطابق پیشوند (LPM) روی ساختار درخت دودویی

هسته برای هر رابط وایرگارد دو ریشه درختی مجزا نگهداری می‌کند: یکی برای آدرس‌های IPv4 (کلیدهای ۳۲ بیتی) و دیگری برای آدرس‌های IPv6 (کلیدهای ۱۲۸ بیتی). هر گره نشان‌دهنده یک پیشوند بیتی است و شامل پیوندهایی به فرزند چپ (بیت ۰)، فرزند راست (بیت ۱) و نشانگری به ساختار ایستگاه struct wg_peer است:

/* ساختار خلاصه‌شده بر مبنای drivers/net/wireguard/allowedips.h */
struct allowedips_node {
    struct allowedips_node __rcu *bit[2];
    struct allowedips_node *parent;
    struct wg_peer *peer;
    u8 cidr;
    u8 bits[];
};

در هنگام تطبیق یک نشانی، الگوریتم از باارزش‌ترین بیت به سمت پایین حرکت می‌کند و عمیق‌ترین گره دارای پیوند معتبر را به عنوان تطابق نهایی برمی‌گزیند. زمان اجرای این فرآیند از مرتبه $O(K)$ است ($K \le 32$ برای IPv4 و $K \le 128$ برای IPv6). عملیات خواندن در پناه سازوکار RCU صورت می‌پذیرد که امکان خواندن موازی و بدون قفل را میان هسته‌های پردازنده فراهم می‌سازد.

مدیریت تداخل زیرشبکه‌ها و قواعد تفکیک اولویت در پیکربندی چند نقطه‌ای

قاعده تغییرناپذیر در این شیوه مسیریابی، شفافیت مسیر خروجی است: یک نشانی مقصد مشخص در هر لحظه فقط می‌تواند به یک ایستگاه هدایت شود. چنانچه دو ایستگاه دامنه‌های هم‌پوشان تعریف کنند، وایرگارد از الگوی اولویت‌بندی زیر پیروی می‌کند:

  • اگر ایستگاه B پیشوندی دقیقاً یکسان با ایستگاه A تعریف کند، مالکیت آن پیشوند به ایستگاه جدیدتر یعنی B منتقل می‌شود.
  • اگر ایستگاه B زیرشبکه دقیق‌تری (مانند 192.168.1.50/32) را در دل دامنه وسیع‌تر ایستگاه A (192.168.1.0/24) ثبت کند، درخت هر دو را حفظ می‌کند. به لطف اصل طولانی‌ترین تطابق پیشوند، ترافیک به سوی 192.168.1.50 به ایستگاه B منتقل شده و سایر ترافیک به سمت ایستگاه A روانه می‌گردد.

این رویکرد انطباق کاملی با اصول مسیریابی اینترنت جهانی دارد.

جابه‌جایی پویای نقاط انتهایی: حفظ وضعیت امنیتی هنگام تغییر سوکت شبکه

در پروتکل‌های قدیمی‌تر، ارتباط به نشانی IP و درگاه بیرونی وابسته است. با تغییر اتصال کاربر از وای‌فای به شبکه همراه، ارتباط قطع شده و باید فرآیند توافق کلیدها تکرار گردد.

وایرگارد نشانی خارجی انتقال را از هویت رمزنگاری داخلی جدا کرده است. نشانی خارجی (Endpoint) صرفاً مقداری کش‌شده برای ارسال به شمار می‌رود:

  1. ایستگاه همراه بسته‌ای رمزنگاری‌شده از نشانی جدیدی (مانند 203.0.113.88:41234) ارسال می‌کند.
  2. سرور بسته را با کلیدهای نشست با موفقیت رمزگشایی و اعتبارسنجی می‌کند.
  3. با تایید هویت، سرور نشانی نقطه انتهایی ایستگاه را بلافاصله به 203.0.113.88:41234 به‌روز می‌نماید.
  4. بسته‌های بعدی بدون درنگ به این نشانی تازه فرستاده می‌شوند.

این شیوه انتقال، پایداری اتصالات را بدون نیاز به دست‌تکانی‌های پرهزینه تضمین می‌کند.

هدایت کل ترافیک شبکه: جلوگیری از ایجاد چرخه بسته‌ها با ابزارهای fwmark و ip rule

هنگامی که وایرگارد به عنوان مسیر پیش‌فرض کل سیستم (AllowedIPs = 0.0.0.0/0, ::/0) تعیین می‌شود، یک حلقه تکراری به وجود می‌آید: اگر قرار باشد تمام بسته‌ها به سمت wg0 بروند، بسته‌های رمزنگاری‌شده بیرونی خود وایرگارد نیز دوباره به wg0 بازمی‌گردند.

برای حل این چالش، از مسیریابی مبتنی بر خط‌مشی (PBR) و نشانه‌گذاری بسته‌ها (fwmark) استفاده می‌شود:

# ۱. انتساب شناسه نشانه‌گذاری ثابت به رابط وایرگارد
wg set wg0 fwmark 51820

# ۲. ایجاد قاعده برای هدایت بسته‌های بدون نشانه به جدول ۵۱۸۲۰
ip -4 rule add not fwmark 51820 table 51820
ip -4 rule add table main suppress_prefixlength 0

# ۳. تنظیم مسیر پیش‌فرض در جدول ۵۱۸۲۰ به سمت رابط wg0
ip -4 route add default dev wg0 table 51820

هنگامی که برنامه‌ای ترافیک ایجاد می‌کند، بسته فاقد نشانه 51820 است؛ قاعده not fwmark 51820 فعال شده و بسته را به جدول 51820 و رابط wg0 می‌برد.

پس از رمزنگاری داده‌ها، هسته به دلیل تنظیم بودن رابط روی fwmark = 51820، نشانه مذکور را روی بسته UDP بیرونی ثبت می‌کند. در مرحله بعدی مسیریابی، این بسته نشانه‌دار جدول 51820 را نادیده گرفته و مستقیماً از طریق رابط فیزیکی (مانند eth0) به اینترنت ارسال می‌شود و حلقه شکسته می‌شود.

مقایسه فنی سازوکار مسیریابی کلید رمزنگاری با چارچوب سیاست‌های IPsec SPD/SAD

تفاوت‌های بنیادین میان روش CKR در وایرگارد و ساختار XFRM در IPsec دلیل استقبال گسترده از مدل وایرگارد را آشکار می‌سازد:

شاخص ارزیابی مسیریابی کلید در WireGuard چارچوب سیاست‌های IPsec XFRM
مدل نگاشت مسیر نگاشت ۱ به ۱ کلید عمومی و پیشوند در درخت پایگاه داده پیچیده سیاست‌های امنیتی (SPD)
بررسی بسته‌های ورودی ارزیابی مستقیم در جدول AllowedIPs با مرتبه $O(K)$ تطبیق چندمرحله‌ای با گزینش‌گرهای SA
بار پردازشی ضد جعل درونی و بدون نیاز به تعریف قواعد اضافه نیازمند تنظیم دستی قواعد دیواره آتش یا rp_filter
تغییر نشانی ایستگاه‌ها به‌روزرسانی آنی هنگام دریافت بسته معتبر نیازمند پروتکل پیچیده MOBIKE (RFC 4555)
حجم کد در هسته حدود ۴٬۰۰۰ سطر کد بازبینی‌شده به زبان C صدها هزار سطر کد پیچیده در هسته و سرویس‌ها
قفل‌گذاری روی منابع خواندن موازی بدون قفل با سازوکار RCU استفاده از قفل‌های سراسری روی جداول امنیتی

نحوه بهینه‌سازی پیمایش درخت پیشوندی و مسیریابی چندمسیره Anycast در سامانه RiceGuard

در زیرساخت اختصاصی VPNRice، سامانه شتاب‌بخش RiceGuard از این ساختار برای پشتیبانی از شبکه‌های توزیع‌شده Anycast بهره می‌گیرد:

  • انتقال پردازش به eBPF و XDP: سیستم RiceGuard جدول درخت پیشوندی را در قالب ساختارهای بهینه‌شده eBPF (BPF_MAP_TYPE_LPM_TRIE) بارگذاری می‌کند. ارزیابی رمزنگاری بسته‌ها در سطح درایور شبکه XDP انجام شده و سرعت پردازش را به بیش از ۱۴ میلیون بسته در ثانیه می‌رساند.
  • تثبیت مسیرهای بازگشتی Anycast: در شبکه‌های توزیع‌شده که سرورها نشانی‌های مشترکی را اعلام می‌کنند، RiceGuard وضعیت نقاط انتهایی را میان سرورهای لبه هماهنگ می‌سازد تا در صورت نوسان مسیرهای BGP، ارتباط کاربران پایدار بماند.
  • همگرایی در مقیاس میکروثانیه: با جابه‌جایی کاربران، جداول شبکه بدون نیاز به مذاکره مجدد کلیدها در کسری از ثانیه بازتنظیم می‌شوند تا کمترین تاخیر در ارتباطات حفظ گردد.

بررسی و آزمایش عملی جداول داخلی و فرآیند تصمیم‌گیری هدایت بسته در WireGuard

کارشناسان شبکه می‌توانند وضعیت عملکرد مسیریابی کلید رمزنگاری را از طریق خط فرمان لینوکس ارزیابی نمایند.

نمایش فهرست ایستگاه‌ها و زیرشبکه‌های مجاز اختصاص‌یافته:

# بررسی وضعیت و فهرست نگاشت AllowedIPs در رابط
wg show wg0

مشاهده قواعد مسیریابی خط‌مشی هدایت‌کننده ترافیک پیش‌فرض:

# بررسی قواعد و جدول مسیریابی سفارشی
ip rule show
ip route show table 51820

پایش بسته‌های دور ریخته‌شده به دلیل عدم تطابق نشانی با جدول مجاز:

# بررسی شمارنده‌های بسته‌های ردشده در رابط شبکه
ip -s link show dev wg0
grep -E "AllowedIPs" /var/log/messages 2>/dev/null

افزودن زیرشبکه مجاز برای یک ایستگاه فعال بدون قطع کردن ارتباط:

# به‌روزرسانی پویای محدوده‌های مجاز برای یک کلید مشخص
wg set wg0 peer "2b6w8mQv8J7yV9hZ0k1LmNoPqRsTuVwXyZ123456789="   allowed-ips "10.200.0.2/32,192.168.10.0/24"

چشم‌انداز آینده: استقرار پروتکل‌های مسیریابی پویای BGP و OSPF بر بستر تونل‌های امن

از آنجا که رابط شبکه وایرگارد همانند یک کارت شبکه استاندارد در سیستم‌عامل عمل می‌کند، امکان اجرای نرم‌افزارهای مسیریابی نظیر BIRD و FRRouting (FRR) روی آن وجود دارد.

با تنظیم AllowedIPs = 0.0.0.0/0, ::/0 میان مسیرياب‌های مورد اعتماد، وایرگارد به عنوان یک بستر امن انتقال داده عمل کرده و پروتکل‌های BGP و OSPF وظیفه مبادله اعلان‌های وضعیت پیوند و محاسبه پویای مسیرها را به عهده می‌گیرند.

مسیریابی با کلید رمزنگاری یکی از ماندگارترین نوآوری‌ها در معماری شبکه‌های مدرن است که با حذف لایه‌های اضافه، امنیت و سرعت را توامان ارتقا بخشیده است. این یکپارچگی میان هویت رمزنگاری و مسیرهای شبکه، بنیادی محکم برای ارتباطات ایمن نسل آینده پدید آورده است.