то есть одной подсетью их не сделать?

они сейчас одной

сейчас да, но сейчас из-за этого трафик не идёт через роутер.

а идёт по кратчайшему пути )

Усорение не невозможно. На AVX2, к примеру, удалось "чачу" ускорить. Отдельно ASIC'и быстро ждать не стоит, но он и так достаточно быстр на данный момент. На счет stateless вопрос достаточно спорный, т.к. это не совсем честное утверждение. Инфраструктура управления ключами реализуется на коленке, никаких проблем. Поддержка вендоров... он в составе ядра теперь - это раз, во-вторых становится все более и более популярным. OpenVPN это не мешало существовать. А минусов у него сильно больше.

Вот взять например идею passive keepalive. Если пир не отправляет data пакеты то, keepalive тоже не выполняется. В течении 15 секунд, а именно столько отведено под keepalive timeout + rekey timeout у нас не будет возможности понять, что пир умер.

stateless это факт, описанный в текущей спецификации протокола.

Попробуйте получить состояние пира. В лучшем случае можно увидеть last rekey time.

OpenVPN нигде и не существует за пределами SOHO железа.

Но я не против Wireguard, просто он не заменит IPSec, OpenVPN может быть. Но опять же, где confit push, Layer 2 VPN, что там ещё было у последнего.

Wireguard прост и понятен, в этом его плюс, наверное.

Но, реализация в ядре даже Crypto API не использует. Всё прибито гвоздями, по крайней мере пока.

ну так если надо чтоб одной, то оно уже так. если надо фильтровать, тогда разные подсети. Есть еще вариант гнать по l2 через микротиковый бридж и фильтровать там l2, но это костыли какие-то

а если фильтровать не форвард, а инпут? Тогда всё равно не выйдет слить их?

зачем их сливать?

А, понял тогда о каком отсутствии состоянии речь. Это фича, а не минус.

В принципе особо незачем, это скорее идейно-топологически. По сути это одна локалка с одним DHCP, одним DNS, одним шлюзом. Просто хочется что-то внутри неё зарезать.

работа ради работы?

Понятное дело, что с точки зрения автора это фича. Но состояние при этом есть. Handshake есть, отслеживание состояниях ядре есть, хоть и не совсем полноценное, точнее сказать оно своеобразное. А вот пользователю он представлен, как полный stateless.

Кстати, для мобильных устройств keepalive не рекомендуется.

Где? В Wireguard?

Угу.

А его можно отключить? В рамках спецификации протокола это не возможно. Может быть конечно она отстаёт от фактической реализации., всё таки она в статусе draft.

Я вообще не против Wireguard, мне в целом всё равно, какой протокол используется, если он решает поставленную задачу.

Сегодня на 4011 делал тест коллега в другой группке, на 100 Mbit/s загрузка ядер была 60, 29, 29, 20%

Нет, работа тут в любом случае предстоит, вопрос только как сделать. В идеале, конечно, было бы бросить отдельный провод на точку доступа, но увы, всё уже замуровано. Поэтому первая идея была максимально оставить всё как есть, то есть не бить на подсети. Ну, нельзя так нельзя, надежда побыла и скончалась )

Он по умолчанию и так отключён.