WireGuard의 병렬 친화적 Rust 구현 공개

핵심 요약

• Firezone이 sans-IO 방식의 WireGuard 상태 머신 구현인 sanstun을 공개했다.
• sans-IO는 입출력과 부수효과를 상태 및 비즈니스 로직과 분리하는 설계 패턴으로, 테스트와 조합이 용이하고 함수 색상 문제를 피할 수 있다.
• Firezone은 처음에 boringtun을 사용했으나 2년 이상 70개 이상의 패치를 적용하면서 내부 버퍼링 제거와 시간 처리 sans-IO화 등의 변경을 거쳤다.
• sanstun은 내부 버퍼링을 제거해 단순하고 직관적인 API를 제공하며, Interface와 Tunnel 타입으로 WireGuard 프로토콜의 구조를 직접 매핑한다.
• 모든 인바운드 패킷은 Interface::receive를 통과해야 하며, 이것이 유일한 공개 파싱 API로 속도 제한과 쿠키 회신을 자동 처리한다.
• WireGuard 세션의 패킷 카운터는 단일 세션에 한정되므로, sanstun은 begin_encapsulate와 encrypt를 분리해 카운터 예약만 먼저 처리하고 실제 암호화는 다른 스레드로 이동 가능하게 했다.
• PendingEncapsulate는 Send를 구현해 멀티스레드 환경에서 옮길 수 있으며, 벤치마크에서 1280바이트 패킷 기준 북키핑 오버헤드는 암호화의 2%에 불과하다.
• 이론상 암호화를 워커 스레드로 오프로드하면 45배 이상의 처리량 개선 가능성이 있으며, 동기화 없이 Rate Limiter가 동작하고 Rust의 차용 검사기(borrow checker)를 활용할 수 있다.
• sanstun은 Apache 2.0 라이선스로 공개되며 crates.io에서 이용 가능하고, Firezone의 boringtun 포크는 더 이상 유지되지 않는다.