Proffil WireGuard ar gyfer porth IPsec: beth i'w ofyn yn ei le

Mae terfynau amser yr ysgwyd llaw â phorth dawel fel arfer yn golygu dau brotocol nad ydynt byth yn cwrdd. Mae cymar WireGuard yn siarad Noise tra bod porth IPsec yn aros am IKE. Nid yw cyfeiriad a phorth cywir yn newid hynny.

Nid yw ailddefnyddio'r pwynt terfyn mewn proffil yn pontio'r ddau. Y cam nesaf yw cais i'r sawl sy'n rhedeg y borth.

Cais un: fersiwn y protocol

Mae IPsec yn enwi teulu yn hytrach na llif gwaith sengl. Mae IKEv2 ac IKEv1 yn wahanol yn eu cyfnewidiadau, eu hopsiynau dilysu a'u hymddygiad pan fydd rhwydwaith yn newid. Bydd porth sy'n gorffen IKEv1 yn unig yn ymddwyn yn hollol wahanol i un sy'n cynnig IKEv2. Mae cyfluniad y cleient yn newid gyda hynny.

Gofynnwch pa fersiwn mae'r gwasanaeth yn ei orffen ac a yw'n rhedeg gweithrediad sy'n seiliedig ar safonau neu amrywiolyn gwerthwr â'i gleient ei hun. Mae bwydlenni systemau gweithredu'n aml yn cuddio'r ateb hwnnw y tu ôl i un label. Nid y label yw'r protocol.

Cais dau: dull dilysu'r cleient

Dilysu yw'r man lle mae'r rhan fwyaf o'r gwaith go iawn. Efallai y bydd y gwasanaeth yn disgwyl tystysgrif peiriant ag y defnydd estynedig penodol o allwedd, tystysgrif defnyddiwr, dull EAP dros IKEv2, neu allwedd a rennir ymlaen llaw sy'n gysylltiedig â hunaniaeth. Pa un sy'n gymwys sy'n pennu beth sydd ei angen ar y cleient.

Nid yw allwedd breifat WireGuard yn unrhyw un o'r rheini. Mae'n allwedd Curve25519 a ddefnyddir mewn un ysgwyd llaw penodol. Nid oes unrhyw drawsnewidiad yn ei throi'n dystysgrif nac yn gymhwyster EAP. Mae offeryn sy'n honni fel arall yn ailenwi'r ffeil neu'n cynhyrchu rhywbeth di-gysylltiad.

Mae manyleb IKEv2 yn RFC 7296 yn disgrifio beth y mae'n rhaid i weithrediad o'r fersiwn hwnnw ei gefnogi. Cyfeirlyfr ar gyfer ateb annelwig gan y gweithredwr ydyw, nid canllaw cyflunio cleient.

Cais tri: yr hunaniaeth ymddiriededig a'r cyrchfannau

Gofynnwch am hunaniaeth y porth fel y mae'n rhaid i'r cleient ei gweld, ynghyd â'r angor ymddiriedaeth sy'n ei dilysu. Yna gofynnwch pa ystodau preifat a datryswyr y mae'r gwasanaeth yn eu gwthio. Mae'r ddau ateb hynny'n pennu beth y mae'r twnnel yn ei gario mewn gwirionedd.

Hebddynt gall cysylltiad sy'n gweithio fethu'r dasg o hyd. Mae twnnel sydd i fyny heb ddatryswr wedi'i wthio yn gadael enwau mewnol heb ateb. Mae detholydd traffig ar goll yn gadael y cyrchfan y tu allan i'r twnnel er bod yr ysgwyd llaw wedi llwyddo.

Mae prawf o'r pwynt terfyn yn ateb cwestiwn gwahanol i wall y cleient. Mae porth cyrraeddadwy heb gysylltiad yn awgrymu dilysu, tra bod porth anghyrraeddadwy yn awgrymu'r llwybr.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Rhedwch y prawf hwnnw cyn newid unrhyw beth yn y cleient. Os yw'r pyrth yn ateb ac mae'r cysylltiad yn dal i fethu, y broblem yw'r cymwysterau neu'r polisi. Os nad ydynt yn ateb o gwbl, ni fydd unrhyw olygiad proffil yn helpu.

Pan fo'n rhaid i'r ddau brotocol gydfodoli

Mae gweinyddu'r ddwy rwydwaith yn rheswm dilys dros gadw'r ddau brotocol. Mae'r dyluniad arferol yn gorffen WireGuard ac IPsec ar ryngwynebau ar wahân neu byrth ar wahân. Yna mae'r traffig a gymeradwywyd yn cael ei lwybro rhyngddynt.

Mae'r dyluniad hwnnw'n cyflwyno ffin ymddiriedaeth ac awdurdodiad, a dylid ei chofnodi felly. Pa gymheiriaid gael croesi, i ba gyfeiriad ac o dan bolisi pwy sy'n benderfyniad llwybro a mur tân. Nid yw'r naill brotocol na'r llall yn ei ddarparu.

Yr hyn nad yw yw trosiad tryloyw. Mae traffig sy'n cyrraedd dros WireGuard yn cael ei aildarddu i'r twnnel IPsec, ac mae pob polisi rhwng y ddau yn gymwys iddo.

Setlwch ofynion protocol a dilysu'r gweinydd yn gyntaf. Yna defnyddiwch y cleient a'r llwybr cofrestru y mae'r gweithredwr yn eu cefnogi, a chadwch allweddi preifat allan o drawsnewidwyr gwe tra bo hynny'n digwydd.