Generelle Verständnisfrage zu Wireguard

[bforpc]

Hallo,

wireguard funktioniert hier im privaten Umfeld seit langem.
Nun wollen wir das in Zukunft auch in der Firma einsetzen (openVPN Ersatz weil Firewall Tausch).

Was mich nun verwundert:
Wenn ich einem Mitarbeiter "seine" Tunnel Config sende, z.B. per Mail und jemand in den Besitz der Konfig kommt, hat er Zugriff auf unser Netz, da es bei Wireguard scheinbar keine Passwortabfrage gibt. Der "shared key" ist ja nur wieder ein Hash, welcher das Passwort nicht ersetzt, bzw. danach fragt.

Hinzu kommt: der Tunnel kann ja mehrfach von verschiedenen Clients genutzt werde, also habe ich gar keine Kontrolle darüber!?

Gibt es eine Möglichkeit, dass der Tunnel mit einem Passwort versehen ist und der User beim Verbinden danach gefragt wird?

Bfo

[Patrick M. Hausen]

Man kann zusätzlich zum Public/Private Key Paar noch ein Preshared Secret konfigurieren. Das wird aber nicht abgefragt sondern kommt ebenfalls in die Config.

M.E. ist Wireguard für Remote Access im Firmenkontext ungeeignet. Es gibt kein IP-Adress-Pool Management, kein XAUTH, LDAP, oder sonst eine Möglichkeit der externen Authentifizierung ...

Wir verwenden nach wie vor OpenVPN aus diesem Grund. Zusätzlich zu gültigen Zertifikaten werden Benutzername und PW über unseren Domänencontroller abgefragt. Key kompromittiert oder Mitarbeiter geht --> Account im AD deaktivieren --> dicht.

Ich finde Wireguard klasse, benutze es aber nur für Site-2-Site Tunnel oder im privaten Umfeld.

[bforpc]

Hallo pmhausen,

danke für die Infos. Genau so hatte ich mir das auch gedacht.
Das ist wirklich Schade, dass wg nicht auch durch ein Passwort geschützt werden kann.

Wir werden zunächst die s2s Verbindungen über wg machen und ein paar wichtige Roadwarriors... dann wird entschieden, was und wie weiter eingesetzt werden wird.

nochmals Danke.
bfo