Προφίλ WireGuard για πύλη IPsec: τι να ζητήσετε αντί γι' αυτό

Οι χρονικές υπερβάσεις χειραψίας με μια σιωπηλή πύλη συνήθως σημαίνουν δύο πρωτόκολλα που δεν συναντιούνται ποτέ. Ένας ομότιμος WireGuard μιλά Noise, ενώ μια πύλη IPsec περιμένει IKE. Η σωστή διεύθυνση και θύρα δεν το αλλάζουν αυτό.

Η επαναχρησιμοποίηση του τελικού σημείου σε ένα προφίλ δεν γεφυρώνει τα δύο. Το επόμενο βήμα είναι ένα αίτημα προς όποιον διαχειρίζεται την πύλη.

Πρώτο αίτημα: η έκδοση του πρωτοκόλλου

Το IPsec ονομάζει μια οικογένεια και όχι μία μόνο ροή εργασίας. Το IKEv2 και το IKEv1 διαφέρουν στις ανταλλαγές τους, στις επιλογές ταυτοποίησης και στη συμπεριφορά τους κατά την αλλαγή δικτύου. Μια πύλη που τερματίζει μόνο IKEv1 θα συμπεριφερθεί πολύ διαφορετικά από μία που προσφέρει IKEv2. Η διαμόρφωση του πελάτη διαφέρει μαζί της.

Ρωτήστε ποια έκδοση τερματίζει η υπηρεσία και αν εκτελεί υλοποίηση βασισμένη σε πρότυπα ή παραλλαγή προμηθευτή με δικό της πελάτη. Τα μενού των λειτουργικών συστημάτων συχνά κρύβουν αυτή την απάντηση πίσω από μία μόνο ετικέτα. Η ετικέτα δεν είναι το πρωτόκολλο.

Δεύτερο αίτημα: η μέθοδος ταυτοποίησης του πελάτη

Η ταυτοποίηση είναι εκεί όπου βρίσκεται το μεγαλύτερο μέρος της πραγματικής δουλειάς. Η υπηρεσία μπορεί να περιμένει πιστοποιητικό μηχανήματος με συγκεκριμένη εκτεταμένη χρήση κλειδιού, πιστοποιητικό χρήστη, μέθοδο EAP πάνω από IKEv2 ή προκοινωνημένο κλειδί δεσμευμένο σε ταυτότητα. Ποιο ισχύει καθορίζει τι χρειάζεται ο πελάτης.

Ένα ιδιωτικό κλειδί WireGuard δεν είναι τίποτα από αυτά. Είναι ένα κλειδί Curve25519 που χρησιμοποιείται σε μία συγκεκριμένη χειραψία. Καμία μετατροπή δεν το κάνει πιστοποιητικό ή διαπιστευτήριο EAP. Ένα εργαλείο που ισχυρίζεται το αντίθετο μετονομάζει το αρχείο ή παράγει κάτι άσχετο.

Η προδιαγραφή του IKEv2 στο RFC 7296 περιγράφει τι πρέπει να υποστηρίζει μια υλοποίηση αυτής της έκδοσης. Είναι αναφορά για μια αόριστη απάντηση του διαχειριστή, όχι οδηγός διαμόρφωσης πελάτη.

Τρίτο αίτημα: η αξιόπιστη ταυτότητα και οι προορισμοί

Ζητήστε την ταυτότητα της πύλης όπως πρέπει να τη βλέπει ο πελάτης, μαζί με την άγκυρα εμπιστοσύνης που την επικυρώνει. Έπειτα ρωτήστε ποιες ιδιωτικές περιοχές και ποιους επιλυτές προωθεί η υπηρεσία. Αυτές οι δύο απαντήσεις καθορίζουν τι μεταφέρει στην πραγματικότητα η σήραγγα.

Χωρίς αυτές, μια λειτουργική σύνδεση μπορεί να αποτύχει στο έργο. Μια σήραγγα που σηκώνεται χωρίς προωθημένο επιλυτή αφήνει εσωτερικά ονόματα αναπάντητα. Ένας επιλογέας κίνησης που λείπει αφήνει τον προορισμό έξω από τη σήραγγα, παρόλο που η χειραψία πέτυχε.

Μια ανίχνευση του τελικού σημείου απαντά σε διαφορετικό ερώτημα από το σφάλμα του πελάτη. Μια προσβάσιμη θύρα χωρίς συσχέτιση δείχνει ταυτοποίηση, ενώ μια μη προσβάσιμη θύρα δείχνει τη διαδρομή.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Εκτελέστε αυτή την ανίχνευση πριν αλλάξετε οτιδήποτε στον πελάτη. Αν οι θύρες απαντούν και η συσχέτιση εξακολουθεί να αποτυγχάνει, το πρόβλημα είναι τα διαπιστευτήρια ή η πολιτική. Αν δεν απαντούν καθόλου, καμία επεξεργασία προφίλ δεν θα βοηθήσει.

Όταν και τα δύο πρωτόκολλα πρέπει να συνυπάρχουν

Η διαχείριση και των δύο δικτύων είναι νόμιμος λόγος για να κρατήσετε και τα δύο πρωτόκολλα. Η συνήθης σχεδίαση τερματίζει το WireGuard και το IPsec σε ξεχωριστές διεπαφές ή ξεχωριστές πύλες. Η εγκεκριμένη κίνηση δρομολογείται τότε μεταξύ τους.

Αυτή η σχεδίαση εισάγει ένα όριο εμπιστοσύνης και εξουσιοδότησης και θα πρέπει να καταγραφεί ως τέτοιο. Ποιοι ομότιμοι επιτρέπεται να περνούν, προς ποια κατεύθυνση και υπό ποια πολιτική είναι απόφαση δρομολόγησης και τείχους προστασίας. Κανένα από τα δύο πρωτόκολλα δεν το παρέχει.

Αυτό που δεν είναι, είναι μια διαφανής μετατροπή. Η κίνηση που φτάνει μέσω WireGuard επανεκκινείται στη σήραγγα IPsec και κάθε πολιτική ενδιάμεσα εφαρμόζεται σε αυτήν.

Διευκρινίστε πρώτα τις απαιτήσεις πρωτοκόλλου και ταυτοποίησης του διακομιστή. Έπειτα χρησιμοποιήστε τον πελάτη και τη διαδρομή εγγραφής που υποστηρίζει ο διαχειριστής, και κρατήστε τα ιδιωτικά κλειδιά έξω από μετατροπείς ιστού όσο συμβαίνει αυτό.