האם שימוש ב L2TP/IPsec לצורך Exit Node בלבד מסוכן?

[itfan]

מסתבר לצערי ש R2S עם OpenWRT לא סוחב 1Gb PPPoE WAN to LAN. מגיע לכל היותר ל 660Mbps.

...

נשמע הגיוני. קרוב לוודאי שצוואר הבקבוק הוא ביצועי המעבד (בשילוב הביצועים הבינוניים של חייגן ה-PPPoE ב-OpenWRT).

למה ב DHCP אני רואה תיעודים ברשת שאין לו בעיה להגיע ל 1Gb?

...

כי אין לו. עם החייגן של OpenWRT, ה-PPPoE צורך משאבים.

ה NanoPi R6S עדיין ב Snapshot.

...

הוא ב-RC. אגב, באותו מעמד יש מכשירים הרבה יותר קרובים ל-R2S מבחינת המימדים והמחיר שאמורים לסחוב 1Gb PPPoE WAN to LAN עם OpenWRT בלי בעיות. אחד מהם הוא ה- NanoPi R5C. שני הוא ה- GL.iNet GL-MT2500 (שעבורו זה אמור לעבוד באמצעות hardware offloading בלי שום עומס על המעבד).

[sys_admin]

מסתבר לצערי ש R2S עם OpenWRT לא סוחב 1Gb PPPoE WAN to LAN. מגיע לכל היותר ל 660Mbps.

אני עושה משהו לא נכון? זה מוזר. ראוטרים חלשים בהרבה כמו ה USG3 הזקן סוחבים עם Offloading קרוב ל 1Gb PPPoE בלי בעיה.

(לצערי פרטנר, בחיבור לא עסקי לפחות, נותנים כתובת קבועה עם PPPoE וביטלו את ה DHCP).

משום מה ב Speedtest-CLI ב SSH מהראוטר עצמו מקבל קרוב ל Gb. דרך ה LAN לא. אם זה בגלל שה LAN מחווט דרך USB פנימי, למה ב DHCP אני רואה תיעודים ברשת שאין לו בעיה להגיע ל 1Gb?

אני לא רוצה להשתמש בשום Custom Build או FriendlyWRT, רק Vanilla OpenWRT. ניסיתי את ‎23.05.5, 24.10.0-rc6, Snapshot. כמובן עם ובלי Hardware Offloading ו- Packet Steering.

ה NanoPi R6S עדיין ב Snapshot. אני חושב לנסות Core i3 4170 ששוכב אצלי, אין לי כרטיס רשת נוסף PCIe כרגע, רק UE300 ב USB 3.

...

כן, כמו שכתבתי לך כבר בתגובה הראשונה, R2S זה מכשיר עם חומרה חלשה ביותר והוא לא מתאים למה שאתה רוצה, אלה רק לקווי DSL למשל, של כמה עשרות מגה לנושא של VPN.

ב NanoPi R6S ניתן להתקין גרסה רגילה לגמרי של OpenWRT ובטח שאין בכלל צורך ב Snapshot לצורך זה. הגרסה הנתמכת, היא הגרסה העדכנית, שמתקינים על כל שאר המכשירים התומכים ב OpenWRT. והיום זה 24.10.0-rc6.

בקשר למחשב עם מעבד Core i3 4170, אז מדובר על מחשב עם חומרה חלשה ביותר שמלפני עשור שלא מתאים לצרכים של היום בנושא זה.
אם רוצים משהו זול במיוחד, אז יש ב ALIEXPRESS מכשירים עם מעבד Intel Core 3-N355 עם קירור פסיבי ועם כרטיסי רשת של INTEL ומכשיר כזה עם זיכרונות ו SSD יוצא פחות מ 400$ שם וגם, אם נדרשת לשלם מכס, אז זה יוצא באזור של 500$ .

[DanielGR]

אם מדובר על OpenWRT אז BPI-R4 ייתן את יחס העלות ביצועים הטוב ביותר. הביצועים עם Hardware offload טובים מאד גם במהירויות גבוהות, והעלות (ללא מודול WiFi) היא בסביבות 120 דולר לפני מיסים, וכולל לוח ומארז מתכת.

[sys_admin]

אם לא היה מדובר על כך שהנתב זה יתפקד גם כשרת VPN, אז BPI-R4 היה יכול להיות מתאים, אבל לצורך של שרת VPN בחיבור עם מהירות שזמינה בסיב אופטי, מעבד של מכשיר זה יהיה חלש מדי.

[DanielGR]

לשם השוואה, המעבד של BPI-R4 יכול להגיע ל-900mbps עם WireGuard (הדיון הקודם מוכר). נבדק עם שירות של NORDVPN מול מספר שרתים בחו״ל.

X86 עדיין יהיה יותר מהיר, n100 עם OpenWRT הגיע ל-1400Mbpsבאותם תנאים.

השאלה היא לא מה יהיה הכי מהיר, אלא מה יהיה מספיק מהיר בהתאם לצרכים.

[Batnun]

לשם השוואה, המעבד של BPI-R4 יכול להגיע ל-900mbps עם WireGuard (הדיון הקודם מוכר). נבדק עם שירות של NORDVPN מול מספר שרתים בחו״ל.

X86 עדיין יהיה יותר מהיר, n100 עם OpenWRT הגיע ל-1400Mbpsבאותם תנאים.

השאלה היא לא מה יהיה הכי מהיר, אלא מה יהיה מספיק מהיר בהתאם לצרכים.

...

נראה ש-N100 כבר עובד את ה-5Gbps ב-WireGuard:

image.png

הנתונים נלקחו מכאן:

https://forum.openwrt.org/t/a-wireguard ... -db/187586


Batnun

.

[DanielGR]

התוצאות האלה לא אפשריות למיטב הבנתי, בסביבות 1400mbps ליבה אחת או יותר מגיעה קרוב ל-100%.

הבדיקה על אותה מכונה עם VETH ומחולל תעבורה היא לא אינדיקטיבית לדעתי, נתעמק בבדיקה להסביר מדוע.

[NACHUM37]

נשמע הגיוני. קרוב לוודאי שצוואר הבקבוק הוא ביצועי המעבד (בשילוב הביצועים הבינוניים של חייגן ה-PPPoE ב-OpenWRT).



כי אין לו. עם החייגן של OpenWRT, ה-PPPoE צורך משאבים.



הוא ב-RC. אגב, באותו מעמד יש מכשירים הרבה יותר קרובים ל-R2S מבחינת המימדים והמחיר שאמורים לסחוב 1Gb PPPoE WAN to LAN עם OpenWRT בלי בעיות. אחד מהם הוא ה- NanoPi R5C. שני הוא ה- GL.iNet GL-MT2500 (שעבורו זה אמור לעבוד באמצעות hardware offloading בלי שום עומס על המעבד).

...

אז אין Offloading ל PPPoE? בכלל? רק ב R2S? או שיש אבל הוא לא יעיל במיוחד ב OpenWRT? איך Cavium 500Mhz יכול עם Offloading ו A53 מרובע לא? לשם השוואה ה AX3000T אצלי בבית שהוא רק 2xA53 עושה את זה בלי בעיות.

טוב לדעת ש R6S ב RC. גם ה R5C וה MT2500 היו ב Snapshot עד לאחרונה.

בכל אופן MT2500 מעניין, תודה על הרעיון. הם כותבים שהוא תומך ב ‎150Mbps (OpenVPN) & 355Mbps (WireGuard)
אני יכול גם לקנות באמת AX3000T אם מחליטים כבר להסתפק ב Filogic 820. הוא אמנם מוגבל ל 1Gb כלומר סביבות 940 אבל יש לו יתרון של כניסת WAN נוספת שאפשר להגדיר כ Failover.
(ו WiFi6 שלא מעניין אותי כ"כ)

[NACHUM37]

כן, כמו שכתבתי לך כבר בתגובה הראשונה, R2S זה מכשיר עם חומרה חלשה ביותר והוא לא מתאים למה שאתה רוצה, אלה רק לקווי DSL למשל, של כמה עשרות מגה לנושא של VPN.

ב NanoPi R6S ניתן להתקין גרסה רגילה לגמרי של OpenWRT ובטח שאין בכלל צורך ב Snapshot לצורך זה. הגרסה הנתמכת, היא הגרסה העדכנית, שמתקינים על כל שאר המכשירים התומכים ב OpenWRT. והיום זה 24.10.0-rc6.

בקשר למחשב עם מעבד Core i3 4170, אז מדובר על מחשב עם חומרה חלשה ביותר שמלפני עשור שלא מתאים לצרכים של היום בנושא זה.
אם רוצים משהו זול במיוחד, אז יש ב ALIEXPRESS מכשירים עם מעבד Intel Core 3-N355 עם קירור פסיבי ועם כרטיסי רשת של INTEL ומכשיר כזה עם זיכרונות ו SSD יוצא פחות מ 400$ שם וגם, אם נדרשת לשלם מכס, אז זה יוצא באזור של 500$ .

...

אכן מבאס לגלות.

RC זו לא "גרסה רגילה לגמרי" של OpenWRT, אלא כמעט. בכל אופן מבחינתי זה באמת מספיק כי זה אומר שהתמיכה יצאה מ Snapshot.

לגבי Core i3 4170 הוא באמת מלפני עשור, אבל עדיין בועט. תומך AES NI. בשרשור Wireguard עם OpenWRT כתוב שהוא מגיע ל 3.32Gbps! אם זה נכון. לא מצאתי מספרים ברורים אבל נראה ש i3 4th Gen יכולים להגיע לכמה מאות מגה ב OpenVPN.
החיסרון היחיד הוא צריכת חשמל קצת יותר גבוהה.

בכל אופן הצרכים כרגע לא דורשים להגיע ל 500$

[DanielGR]

אז אין Offloading ל PPPoE? בכלל? רק ב R2S? או שיש אבל הוא לא יעיל במיוחד ב OpenWRT? איך Cavium 500Mhz יכול עם Offloading ו A53 מרובע לא? לשם השוואה ה AX3000T אצלי בבית שהוא רק 2xA53 עושה את זה בלי בעיות.

טוב לדעת ש R6S ב RC. גם ה R5C וה MT2500 היו ב Snapshot עד לאחרונה.

בכל אופן MT2500 מעניין, תודה על הרעיון. הם כותבים שהוא תומך ב ‎150Mbps (OpenVPN) & 355Mbps (WireGuard)
אני יכול גם לקנות באמת AX3000T אם מחליטים כבר להסתפק ב Filogic 820. הוא אמנם מוגבל ל 1Gb כלומר סביבות 940 אבל יש לו יתרון של כניסת WAN נוספת שאפשר להגדיר כ Failover.
(ו WiFi6 שלא מעניין אותי כ"כ)

...

Hardware offloading ב-OpenWRT נתמך רק ב-SoC של Mediatek. לדוגמא, אפילו MT7621 העתיק והחלש סוחב 1Gbps עם PPPOE בלי בעיה עם OpenWRT, התקן לדוגמא: Edgerouterx. עם זאת ביצועי ה-VPN של מעבד כזה יהיו גרועים מאד.

USG עם מעבד Cavium סוחב 1Gbps עם התוכנה המקורית, המיישמת Offloading. לעומת זאת Offloading לא נתמך עבור Cavium ב-OpenWRT

[NACHUM37]

אה אז זה הסיפור.

היו לי גם D-Link Dir-860L B1 ו Mi 4A Gigabit עם המעבד הזה.

הוא אמנם סחב אצלי 1Gb PPPoE בבית אבל נחנק מדי פעם, החלפתי ב AX3000T ומאז אין בעיות.

כן ידוע לי שה Offloading לא נתמך ב OpenWRT עבור USG. חבל

[DanielGR]

אם ביצועי VPN הם שיקול משמעותי אז X86 ככלל ייתן תוצאות טובות יותר מאשר ARM על OpenWRT. ההשוואה כמובן לחומרה עדכנית, לדוגמא N100 מול Filogic 830. ביצועי הניתוב של Filogic 830 מעולים תודות ל-Offloading ביצועי VPN גם טובים, אבל ברי השוואה ל- 2-3 דורות אחורה של X86.

4170 הוא אופציה לא רעה בכלל, 3.7Ghz, די גבוה, ותומך ב-AES-NI

[sys_admin]

אכן מבאס לגלות.

RC זו לא "גרסה רגילה לגמרי" של OpenWRT, אלא כמעט. בכל אופן מבחינתי זה באמת מספיק כי זה אומר שהתמיכה יצאה מ Snapshot.

לגבי Core i3 4170 הוא באמת מלפני עשור, אבל עדיין בועט. תומך AES NI. בשרשור Wireguard עם OpenWRT כתוב שהוא מגיע ל 3.32Gbps! אם זה נכון. לא מצאתי מספרים ברורים אבל נראה ש i3 4th Gen יכולים להגיע לכמה מאות מגה ב OpenVPN.
החיסרון היחיד הוא צריכת חשמל קצת יותר גבוהה.

בכל אופן הצרכים כרגע לא דורשים להגיע ל 500$

...

אם יש לך כבר ממילא מערכת FANLESS מוכנה ישנה עם מעבד Core i3 4170 ועם שני כרטיסי רשת של INTEL בה, אז אין שום בעיה ואתה יכול לנסות להשתמש בה ולהתקין עלייה את pfSense למשל.

אבל, אם מדובר על מחשב ביתי ישן סתם, שהוא היה איזה DESKTOP עתיק, עם מאווררים מלאי אבק, אם כרטיס רשת בודד של REALTEK או איזה צרה כזו אחרת, אז כל ההתעסקות בכך, של רכישת כרטיס רשת INTEL PCIE נדרש עם שני פורטים, שלא בטוח בכלל שיעבוד במחשב זה, של SSD מתאים וכו', וגם בכלל לא ברור כמה כל דבר זה ישרוד לפני שיתפרק, הכאב ראש של זה יהיה רוב הסיכויים מיותר לגמרי ובסופו של דבר גם יקר יותר מאותם 500$ של מכשיר סיני חדש ופשוט, אם מדברים על מערכת של X64.

[NACHUM37]

אם ביצועי VPN הם שיקול משמעותי אז X86 ככלל ייתן תוצאות טובות יותר מאשר ARM על OpenWRT. ההשוואה כמובן לחומרה עדכנית, לדוגמא N100 מול Filogic 830. ביצועי הניתוב של Filogic 830 מעולים תודות ל-Offloading ביצועי VPN גם טובים, אבל ברי השוואה ל- 2-3 דורות אחורה של X86.

4170 הוא אופציה לא רעה בכלל, 3.7Ghz, די גבוה, ותומך ב-AES-NI

...

ביצועי VPN אינם שיקול משמעותי, מדובר על 1-2 משתמשים שצריכים לצאת דרך ה IP הזה עבור RDP בדפדפן. בכל מקרה ה Upload בסיב הוא 100Mb.
אני מעדיף לא להפסיד את את ה 1Gb WAN ברשת המקומית.
בלית ברירה כן הייתי משתמש ב r2s, ההפרש בין 660Mb ל 1Gb לא כזה מורגש. בכל אופן הוא לא Future proof ויש לי שימוש בו במקומות אחרים. לקנות אחד מה Filogic הזולים גם כבר על הקצה מבחינת Future proof אבל כנראה שהמחיר ינצח. מעל כמה מאות שח כבר אוברקיל.

אם יש לך כבר ממילא מערכת FANLESS מוכנה ישנה עם מעבד Core i3 4170 ועם שני כרטיסי רשת של INTEL בה, אז אין שום בעיה ואתה יכול לנסות להשתמש בה ולהתקין עלייה את pfSense למשל.

אבל, אם מדובר על מחשב ביתי ישן סתם, שהוא היה איזה DESKTOP עתיק, עם מאווררים מלאי אבק, אם כרטיס רשת בודד של REALTEK או איזה צרה כזו אחרת, אז כל ההתעסקות בכך, של רכישת כרטיס רשת INTEL PCIE נדרש עם שני פורטים, שלא בטוח בכלל שיעבוד במחשב זה, של SSD מתאים וכו', וגם בכלל לא ברור כמה כל דבר זה ישרוד לפני שיתפרק, הכאב ראש של זה יהיה רוב הסיכויים מיותר לגמרי ובסופו של דבר גם יקר יותר מאותם 500$ של מכשיר סיני חדש ופשוט, אם מדברים על מערכת של X64.

...

אכן דסקטופ עתיק עם כ. רשת בודד של Realtek. אבל נקי, עם מאווררים שקטים, משחה תרמית חדשה, SSD, זכרונות אמינים, לוח אם וספק מחברה סבירה.

למען המדע התקנתי pfSense. הוא זיהה את ה NIC המובנה וה USB, שניהם Realtek, וסוחב 1Gb PPPoE WAN to LAN בקלות. ה CPU לא מגיע ל 10% ונשאר סביבות 30 מעלות. עוד לא בדקתי ביצועי OpenVPN.

התרשמתי מהתיעוד ומההסברים בממשק. מאז m0n0wall השתמשתי רק ב OpenWRT... מאכזב לגלות ש OpenVPN DCO נתמך רק ב pfSense Plus. ראיתי שפורמלית OpenWRT ו OPNsense תומכים ב DCO, מישהו יודע מה המצב בפועל?

דרך אגב, האם לא נדרשים לספק במכס אישורי CE ל TopTon האלו מעלי?

[elxyzad]

אפשר להשתמש ב dco גם ב openwrt. ניסיתי את זה לפני המון זמן כשזה עוד נחשב experimental, אני חושב שהם כבר מגדירים את זה יציב היום.
הם מנסים להכניס את התמיכה ב dco ל upstream kernel, כמו הפרוטוקול של wireguard, מאמין שעד ה lts הבא כבר תהיה תמיכה מובנת בקרנל.

[DanielGR]

OPENVPN DCO אמור להיות נתמך ב-OpnSense 24.7. OpnSense הוא Fork של pfSense, הממשק שונה (ויש כאלו שחושבים שהוא יותר טוב) ויש עוד מספר הבדלים.

המידע נלקח מפורומים שונים, לא ניסיתי.

[OMRIJ]

DCO עובד בגירסה העדכנית של OPNSENSE

[DanielGR]

דרך אגב, האם לא נדרשים לספק במכס אישורי CE ל TopTon האלו מעלי?

...

לא. המכשיר כפי שנמכר לא כולל יכולת אלחוטית ולא משדר. רכשתי מכשיר כזה ולא נדרשתי לאישור, כן היה צריך לשלם מע״מ ועמילות מכס

[sys_admin]

ביצועי VPN אינם שיקול משמעותי, מדובר על 1-2 משתמשים שצריכים לצאת דרך ה IP הזה עבור RDP בדפדפן. בכל מקרה ה Upload בסיב הוא 100Mb.
אני מעדיף לא להפסיד את את ה 1Gb WAN ברשת המקומית.
בלית ברירה כן הייתי משתמש ב r2s, ההפרש בין 660Mb ל 1Gb לא כזה מורגש. בכל אופן הוא לא Future proof ויש לי שימוש בו במקומות אחרים. לקנות אחד מה Filogic הזולים גם כבר על הקצה מבחינת Future proof אבל כנראה שהמחיר ינצח. מעל כמה מאות שח כבר אוברקיל.





אכן דסקטופ עתיק עם כ. רשת בודד של Realtek. אבל נקי, עם מאווררים שקטים, משחה תרמית חדשה, SSD, זכרונות אמינים, לוח אם וספק מחברה סבירה.

למען המדע התקנתי pfSense. הוא זיהה את ה NIC המובנה וה USB, שניהם Realtek, וסוחב 1Gb PPPoE WAN to LAN בקלות. ה CPU לא מגיע ל 10% ונשאר סביבות 30 מעלות. עוד לא בדקתי ביצועי OpenVPN.

התרשמתי מהתיעוד ומההסברים בממשק. מאז m0n0wall השתמשתי רק ב OpenWRT... מאכזב לגלות ש OpenVPN DCO נתמך רק ב pfSense Plus. ראיתי שפורמלית OpenWRT ו OPNsense תומכים ב DCO, מישהו יודע מה המצב בפועל?

דרך אגב, האם לא נדרשים לספק במכס אישורי CE ל TopTon האלו מעלי?

...

למען המדע באמת שאין שום בעיה להתקין את pfSense על DESKTOP עתיק זה.
אבל אני רק מקווה שאתה לא באמת חושב להשתמש בדבר כזה לחיבור אינטרנט של אותו המשרד שכתבת עליו קודם.

בקשר לשימוש ב DCO. ב pfSense Plus האפשרות זו עובדת מצויין כבר שנים רבות ובשימוש בה אני מקבל מהירויות גם של 10G בתוך ערוץ של OpenVPN וזה על חומרה שלפני זה לא היה עוברת את 1G.
ב OpenWRT למרות שניתן להתקין מודול זה כחבילה חיצונית ולבנות מחדש את החבילה של OpenVPN כך שתשתמש בו, עדיין זה לא מתפקד כך שניתן לקבל את הביצועים שהאפשרות זו מבטיחה. גם ב OPNsense אין תמיכה אמיתית פעילה ב DCO, אפילו במגבלות של המודול.

בקשר למחשבי FANLESS מ ALIEXPRESS , אז בכל השנים לא הייתה לי דרישה אחת מהמכס לספק להם אישורי CE, כל עוד מחשבים אלה היו ללא מודולים אלחוטיים.

[dr0r]

למורת שבמשך השנים, כולל גם בפורום זה אני פירטתי לפרטי פרטים את הסיבות הרבות לכך, אני אתן רק סיכום קצר של חלק מהן, מבלי להיכנס למושגים ולהסברים המקצועיים.

1. OpenVPN תומך גם בעבודה מעל פרוטוקול TCP, דבר ש WIREGUARD לא מסוגל לעשות. דבר זה חיוני לעבודה ברשתות שבהן אין רמת שירות מוגדרת ויותר מכך, אך אחד גם לא מבטיח שהחבילות יגיעו ליעד ולא ילכו לאיבוד. אחד הרשתות כאלה שאנו מכירים, זה רשת אינטרנט הציבורית.
במיוחד, אם מדובר על שימוש בחלקים שלה שהם חיבורים ביתיים ולא קווי תמסורת ייעודיים עסקיים.
על ההשפעה על שימושים שונים ברשת, בתוכנות, קבצים וכו', אם יש מצב שהחלק מהחבילות לא מגיעות ליעדן או מגיעות תקולות אני חושב שאין צורך לפרט.

2. OpenVPN משתמש בין היתר למימוש האבטחה והצפנה שלו במנגנון ניהול של certificate authority ברמות אבטחה גבוהות ומנגד WIREGUARD משתמש ב Pre-Shared keys וב Public keys . ואת ההבדלים של אחד נגד השני מבחינת רמת האבטחת מידע אני חושב שלא צריך לפרט.

3. OpenVPN יכול להשתמש ב ciphers ( סוגי ההצפנה ) שונים מתוך רשימה ארוכה שנתמכת על ידו, שכל אחד שמגדיר את השרת OpenVPN יכול לבחור את מה שנדרש בדיוק למקרה ספיציפי שלו, בתלות במשאבי חומרה שיהיו בשימוש, בתלות בסוגי הלקוחות שיתחברו לשירות זה וכו'. מנגד ב WIREGUARD לא ניתן לבחור כלום ושום דבר, בגלל שהוא בכלל משתמש במנגנון שכל זה לא קיים שם.

4. ב OpenVPN קיימת מערכת מתקדמת של דיאגנוסטיקה מובנית שבעזרתה ניתן לבצע משימות ניהול שונות בצורה פשוטה, וב WIREGUARD היא לא קיימת כלל. דבר זה גם מעלה את רמת האבטחה וגם עוזר בזיהוי ופתרון התקלות, אם קיימות.

ואת הרשימה זו אפשר היה להמשיך עוד ועוד.

...

סליחה, אבל מה שכתבת כאן לא מדויק בלשון המעטה (ואני כותב את זה כמי שניהל צוות לפיתוח מוצרי VPN באחת מחברות הענן הגדולות):

1. OpenVPN (כמו IPSec) אכן מאפשר לבחור מתוך רשימה ארוכה של פרוטוקולים, ברובם הגדול חלשים ופרוצים. ב-Wireguard אתה מחוייב להשתמש ב-Curve25519 ו-ChaCha20, שהם מהפרוטוקולים החזקים ביותר כיום. מבחר זה ממש לא יתרון במקרה הזה, כי אלא אם אתה באופן מכוון מבטל את האפשרות להשתמש בפרוטוקולים החלשים, הם עלולים להיבחר כחלק מה-negotiation, כי הצד השני הגדיר לא טוב, או משתמש בגירסה ישנה.

2. ברגע שמדובר על ארגון, ולא על גישה רנדומלית מהאינטרנט, CA לא באמת מוסיף שום אבטחה לעומת PSK. זה בעיקר עניין של ניהול מפתחות שונה, שבהחלט יכול להיות פחות נוח. כל עוד מחזיקים לכל לקוח קצה מפתח משלו, ניתוק רק דורש מחיקת המפתח הרלוונטי בצד השרת. בכל מקרה, Wireguard הוא מטבעו יותר bare-bone. יש פרוייקטים שמוסיפים מעליו גם MFA.

3. ההעדפה שלך ל-TCP מול UDP בכלל לא ברורה: להפך, TCP בתוך TCP נותן ביצועים מזעזעים, וממש לא מומלץ. השימוש של Wireguard ב-UDP נועד באופן ספציפי כדי להימנע מהבעיות האלה. הפרוטוקול בנוי כדי להסתדר עם packet loss, וכמובן שהאחריות על ה-data מנוהלת ע״י הפרוטוקולים הפנימיים. מהבחינה הזו wireguard לא שונה מ-IPSec, שעובד ב-layer 2, גם מעל האינטרנט הציבורי.