兰 亭 墨 苑

标题 *

URL 别名 *

内容 * (支持 Markdown 格式) # 为什么WireGuard 能进内核？ 这是一个**架构层面的必然结果**，不是“实现水平”或“历史包袱”的问题。 一句话先给结论： > **WireGuard 能进内核，是因为它在语义上就是“内核该干的事”； > OpenVPN 不能进内核，是因为它在语义上必然属于用户态。** 下面我们从 **内核准入条件 → 协议语义 → 工程后果** 三层把它拆干净。 --- # 一、内核到底“允许什么样的东西进去”？ 内核不是“性能更快的地方”，而是： > **只允许那些：** > - ✅ 行为可预测 > - ✅ 状态有限且可验证 > - ✅ 不依赖复杂策略 > - ✅ 不需要频繁用户交互 > - ✅ 安全失败方式清晰 > **的机制型组件** 内核讨厌三样东西： ❌ 大状态机 ❌ 动态协商 ❌ 策略决策 这是判断一切能否进内核的**第一道门槛**。 --- # 二、WireGuard：它在语义上就是“内核模块” 我们直接看 WireGuard 在内核里“像什么”。 ## 1️⃣ WireGuard ≈ 加密版 IP 层适配器 在内核视角中： ``` netif_rx() → wg_receive() → decrypt → inject into stack ``` 它做的事非常像： - GRE - IPIP - VXLAN（但更简单） ✅ 输入包 → 验证 → 解密 → 放回网络栈 ✅ 输出包 → 查 peer → 加密 → 发 UDP **没有控制面 / 数据面分裂** --- ## 2️⃣ WireGuard 的状态模型满足内核约束 | 状态 | 特点 | |----|----| | Peer | 长期、数量有限 | | Endpoint | 事实型、可覆盖 | | Keypair | 短期、自动轮换 | | Counter | 单调、无回滚 | ✅ 没有“阶段” ✅ 没有“等待对方回应” ✅ 没有“协商失败重试” 这意味着什么？ > **内核线程永远不会卡在“等一个决定”上** --- ## 3️⃣ WireGuard 的失败模式是“静默丢包” 这是内核最喜欢的失败方式： - 解密失败 → drop - counter 异常 → drop - peer 不存在 → drop ✅ 没有弹窗 ✅ 没有 UI ✅ 没有错误码泛滥 这和内核网络栈的哲学是完全一致的。 --- # 三、OpenVPN：它在语义上“必须是用户态” 注意：不是“实现选择”，而是**语义决定了它不能下沉**。 --- ## 1️⃣ OpenVPN 的核心是一个“连接型协议” OpenVPN 的真实结构是： ``` TCP/TLS 控制通道 ↓ 协商 cipher / 参数 ↓ 建立 data channel ↓ 维持 session / keepalive ``` 这意味着： ❌ 有明确的“连接建立” ❌ 有“连接失败原因” ❌ 有“重试策略” 这三点直接把它踢出内核。 --- ## 2️⃣ TLS = 用户态专属物种 OpenVPN 依赖： - TLS - X.509 - 证书验证 - CRL / OCSP - cipher 协商 这些东西意味着： - 动态内存 - 大整数运算 - ASN.1 解析 - 可配置策略 > **内核永远不会接受一个“可配置密码学协商引擎”。** --- ## 3️⃣ OpenVPN 必须“解释错误” 举几个 OpenVPN 的典型问题： - 证书过期 - CA 不信任 - cipher 不匹配 - TLS 握手失败 这些错误： ❌ 需要人类理解 ❌ 需要日志 ❌ 需要策略判断 而内核只会做一件事： > **要么转发，要么丢弃** --- # 四、控制面 vs 数据面：决定命运的分界线 这是最核心的一刀。 ## WireGuard - 没有控制面 - handshake 是数据包的一种 - 所有包都可独立处理 ✅ **纯数据面协议** --- ## OpenVPN - 控制面 ≠ 数据面 - 连接管理 ≠ 数据转发 - 状态依赖顺序 ❌ **控制面主导协议** --- # 五、工程后果：为什么结果“只能这样” ## 1️⃣ WireGuard 能做到： - 内核实现 < 5k 行 - 可形式化审计 - 死锁路径极少 - 无需用户态守护进程 ## 2️⃣ OpenVPN 如果进内核会发生什么？ 你可以想象一下： - TLS 栈进内核 - 证书解析进内核 - 配置解析进内核 - 重试逻辑进内核 👉 **内核直接变成用户空间** 这在安全上是不可接受的。 --- # 六、用一句“工程判断”总结 > **能进内核的，不是“跑得快”的代码，而是“不需要思考”的代码。** - WireGuard： 👉 收到包 → 验证 → 转发 - OpenVPN： 👉 收到包 → 判断 → 协商 → 决策 → 解释结果 内核只做前者。 --- # 七、终极对照总结（可以直接引用） > WireGuard 能进内核，是因为它本身就是一个“无控制面的加密转发器”； > OpenVPN 不能进内核，是因为它本质上是一个“需要人类理解的连接系统”。 ---

配图 (可多选)

标签