Próifíl WireGuard do gheata IPsec: cad ba cheart a iarraidh ina ionad

De ghnáth ciallaíonn amscaíochtaí cromáin láimhe le geata ciúin dhá phrótacal nach dtagann le chéile riamh. Labhraíonn piara WireGuard Noise agus fanann geata IPsec le IKE. Ní athraíonn seoladh agus port ceart sin.

Ní nascann athúsáid an phointe deiridh i bpróifíl an dá rud. Is é an chéad chéim eile iarraidh chuig an té a bhainistíonn an geata.

Iarraidh a haon: an leagan prótacail

Ainmníonn IPsec teaghlach seachas sreabhadh oibre amháin. Tá difríocht idir IKEv2 agus IKEv1 ina malartuithe, ina roghanna fíordheimhnithe agus ina n-iompar le linn athrú líonra. Beidh iompar geata a chríochnaíonn IKEv1 amháin an-difriúil ó gheata a thairgeann IKEv2. Athraíonn cumraíocht an chliaint dá réir.

Fiafraigh cén leagan a chríochnaíonn an tseirbhís agus an gcuireann sí cur chun feidhme bunaithe ar chaighdeáin i bhfeidhm nó leagan díoltóra lena chliant féin. Is minic a cheileann roghchláir chórais oibriúcháin an freagra sin taobh thiar d'aon lipéad amháin. Ní hé an lipéad an prótacal.

Iarraidh a dó: modh fíordheimhnithe an chliaint

Is ag an bhfíordheimhniú atá an chuid is mó den fhíorobair. B'fhéidir go n-ionchas an tseirbhís deimhniú meaisín le húsáid eochair leathnaithe ar leith, deimhniú úsáideora, modh EAP thar IKEv2, nó eochair roinnte roimh ré atá ceangailte le féiniúlacht. Cinneann an ceann a bhaineann leo cad a theastaíonn ón gcliant.

Ní hé eochair phríobháideach WireGuard aon cheann díobh sin. Is eochair Curve25519 í a úsáidtear i gcromán láimhe amháin. Ní dhéanann aon chomhshó deimhniú nó creidiúnaí EAP di. Déanann uirlis a mhaíonn a mhalairt an comhad a athainmniú nó rud éigin neamhghaolmhar a ghiniúint.

Déanann sonraíocht IKEv2 i RFC 7296 cur síos ar a bhfuil le tacú ag cur chun feidhme den leagan sin. Is tagairt í do fhreagra doiléir ón oibreoir, ní treoir chumraíochta cliaint.

Iarraidh a trí: an fhéiniúlacht iontaofa agus na cinn scríbe

Iarr féiniúlacht an gheata mar a chaithfidh an cliant í a fheiceáil, móide an t-ancaire iontaoibhe a dhearbhaíonn í. Ansin fiafraigh cén raonta príobháideacha agus réiteoirí a bhrúnn an tseirbhís. Cinneann an dá fhreagra sin cad a iompraíonn an tollán i ndáiríre.

Gan iad, féadann nasc oibre teip ar an tasc fós. Fágann tollán atá suas gan réiteoir brúite na hainmneacha inmheánacha gan freagra. Fágann roghnóir tráchta atá ar iarraidh an ceann scríbe lasmuigh den tollán cé gur éirigh leis an gcromán láimhe.

Freagraíonn iniúchadh ar an bpointe deiridh ceist dhifriúil le hearráid an chliaint. Cuireann port inrochtana gan chomhlachas in iúl fíordheimhniú, agus cuireann port dorochtana in iúl an cosán.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Rith an t-iniúchadh sin sula n-athraíonn tú rud ar bith sa chliant. Má fhreagraíonn na poirt agus má theipeann ar an gcomhlachas fós, is iad na creidiúnaí nó an pholasaí an fhadhb. Mura bhfreagraíonn siad ar chor ar bith, ní chabhróidh aon eagarthóireacht phróifíle.

Nuair a chaithfidh an dá phrótacal comhbheith

Is cúis dhlisteanach é an dá líonra a riar chun an dá phrótacal a choinneáil. Críochnaíonn an dearadh is gnách WireGuard agus IPsec ar chomhéadain ar leith nó ar gheataí ar leith. Ansin déantar trácht ceadaithe a ródú eatarthu.

Tugann an dearadh sin teorainn iontaoibhe agus údaraithe isteach, agus ba cheart í a scríobh síos mar sin. Cé na piaraí a fhéadann dul thar, cén treo agus faoi pholasaí cé, is cinneadh ródaithe agus balla dóiteáin é. Ní sholáthraíonn ceachtar prótacal é.

Is é nach bhfuil ann ná comhshó trédhearcach. Déantar trácht a thagann thar WireGuard a athbhunú sa tollán IPsec, agus baineann gach polasaí eatarthu leis.

Socraigh ceanglais phrótacail agus fhíordheimhnithe an fhreastalaí ar dtús. Ansin úsáid an cliant agus an cosán clárúcháin a thacaíonn an t-oibreoir leo, agus coinnigh eochracha príobháideacha amach ó thiontair ghréasáin agus é sin ag tarlú.