IPsec шлюзіне арналған WireGuard профилі: оның орнына нені сұрау керек

Үнсіз шлюзбен қол алысудың уақыты бітуі әдетте ешқашан кездеспейтін екі протоколды білдіреді. WireGuard әріптесі Noise тілінде сөйлейді, ал IPsec шлюзі IKE күтеді. Дұрыс мекенжай мен порт мұны өзгертпейді.

Профильдегі соңғы нүктені қайта пайдалану екеуін жалғастырмайды. Келесі қадам — шлюзді басқаратын адамға сұраныс жіберу.

Бірінші сұраныс: протокол нұсқасы

IPsec бір жұмыс процесін емес, отбасын атайды. IKEv2 мен IKEv1 өздерінің алмасуларымен, аутентификация параметрлерімен және желі өзгерген кездегі мінез-құлқымен ерекшеленеді. Тек IKEv1-ді аяқтайтын шлюз IKEv2 ұсынатын шлюзден мүлдем басқаша әрекет етеді. Клиент конфигурациясы да соған қарай өзгереді.

Қызмет қай нұсқаны аяқтайтынын және стандарттарға негізделген іске асыруды немесе өз клиенті бар жеткізуші нұсқасын іске қосатынын сұраңыз. Операциялық жүйе мәзірлері бұл жауапты көбіне бір белгінің артына жасырады. Белгі — протокол емес.

Екінші сұраныс: клиенттің аутентификация әдісі

Аутентификация — нақты жұмыстың басым бөлігі орналасқан жер. Қызмет белгілі бір кеңейтілген кілт қолданылатын машина сертификатын, пайдаланушы сертификатын, IKEv2 үстіндегі EAP әдісін немесе идентификацияға байланған алдын ала бөлінген кілтті күтуі мүмкін. Қайсысы қолданылатыны клиентке не қажет екенін анықтайды.

WireGuard жеке кілті бұлардың ешқайсысы емес. Ол бір нақты қол алысуда қолданылатын Curve25519 кілті. Ешбір түрлендіру оны сертификатқа немесе EAP куәлігіне айналдырмайды. Керісінше деп мәлімдейтін құрал файлдың атын өзгертеді немесе байланысы жоқ нәрсе жасайды.

RFC 7296-дағы IKEv2 спецификациясы сол нұсқаның іске асырылуы нені қолдауы керектігін сипаттайды. Бұл оператордың бұлыңғыр жауабына арналған анықтама, клиент конфигурациясының нұсқаулығы емес.

Үшінші сұраныс: сенімді идентификация және межелі орындар

Шлюздің идентификациясын клиент көруі тиіс қалпында, оны растайтын сенім тірегімен бірге сұраңыз. Сосын қызмет қандай жеке ауқымдар мен шешушілерді жіберетінін сұраңыз. Осы екі жауап туннель шын мәнінде нені тасымалдайтынын анықтайды.

Оларсыз жұмыс істеп тұрған қосылым да тапсырманы орындай алмауы мүмкін. Жіберілген шешушісіз көтерілген туннель ішкі атауларды жауапсыз қалдырады. Жоқ трафик таңдағышы межелі орынды туннельден тыс қалдырады, қол алысу сәтті болғанымен.

Соңғы нүктені тексеру клиент қатесінен басқа сұраққа жауап береді. Байланыссыз қолжетімді порт аутентификацияға нұсқайды, қолжетімсіз порт жолға нұсқайды.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Клиентте бірдеңе өзгертуден бұрын осы тексеруді орындаңыз. Порттар жауап берсе де байланыс әлі сәтсіз болса, мәселе куәліктерде немесе саясатта. Егер олар мүлдем жауап бермесе, профильді өңдеу көмектеспейді.

Екі протокол бірге болуы тиіс болғанда

Екі желіні де әкімшілендіру екі протоколды да ұстаудың заңды себебі. Әдеттегі дизайн WireGuard пен IPsec-ті бөлек интерфейстерде немесе бөлек шлюздерде аяқтайды. Бекітілген трафик содан кейін олардың арасында маршрутталады.

Бұл дизайн сенім мен авторизация шекарасын енгізеді және оны солай жазып қою керек. Қай әріптестер өте алады, қай бағытта және кімнің саясаты бойынша — бұл маршруттау және файрвол шешімі. Екі протоколдың ешқайсысы оны бермейді.

Бұл емес нәрсе — мөлдір түрлендіру. WireGuard арқылы келген трафик IPsec туннелінде қайта жасалады және аралықтағы әрбір саясат оған қолданылады.

Алдымен сервердің протокол мен аутентификация талаптарын нақтылаңыз. Содан кейін оператор қолдайтын клиент пен тіркеу жолын пайдаланыңыз және осы кезде жеке кілттерді веб-түрлендіргіштерден алыс ұстаңыз.