IPsec ಗೇಟ್‌ವೇಗಾಗಿ WireGuard ಪ್ರೊಫೈಲ್: ಬದಲಿಗೆ ಏನನ್ನು ಕೇಳಬೇಕು

ಮೌನ ಗೇಟ್‌ವೇ ಜೊತೆ ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಸಮಯ ಮೀರುವಿಕೆ ಸಾಮಾನ್ಯವಾಗಿ ಎಂದಿಗೂ ಸಂಧಿಸದ ಎರಡು ಪ್ರೋಟೋಕಾಲ್‌ಗಳನ್ನು ಅರ್ಥೈಸುತ್ತದೆ. WireGuard ಪೀರ್ Noise ಮಾತನಾಡುತ್ತದೆ, IPsec ಗೇಟ್‌ವೇ IKE ಗಾಗಿ ಕಾಯುತ್ತದೆ. ಸರಿಯಾದ ವಿಳಾಸ ಮತ್ತು ಪೋರ್ಟ್ ಅದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ.

ಪ್ರೊಫೈಲ್‌ನಲ್ಲಿ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಮರುಬಳಕೆ ಎರಡನ್ನೂ ಸೇತುವೆ ಮಾಡುವುದಿಲ್ಲ. ಮುಂದಿನ ಹೆಜ್ಜೆ ಗೇಟ್‌ವೇ ನಡೆಸುವವರಿಗೆ ಮನವಿ ಮಾಡುವುದು.

ಮೊದಲ ಮನವಿ: ಪ್ರೋಟೋಕಾಲ್ ಆವೃತ್ತಿ

IPsec ಒಂದು ಕುಟುಂಬವನ್ನು ಸೂಚಿಸುತ್ತದೆ, ಒಂದೇ ಕಾರ್ಯಪ್ರವಾಹವನ್ನಲ್ಲ. IKEv2 ಮತ್ತು IKEv1 ತಮ್ಮ ವಿನಿಮಯ, ದೃಢೀಕರಣ ಆಯ್ಕೆಗಳು ಮತ್ತು ನೆಟ್‌ವರ್ಕ್ ಬದಲಾವಣೆಯ ಸಮಯದ ನಡವಳಿಕೆಯಲ್ಲಿ ಭಿನ್ನ. IKEv1 ಮಾತ್ರ ಮುಗಿಸುವ ಗೇಟ್‌ವೇ IKEv2 ನೀಡುವ ಗೇಟ್‌ವೇಗಿಂತ ಸಂಪೂರ್ಣ ಭಿನ್ನವಾಗಿ ವರ್ತಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಸಂರಚನೆಯೂ ಅದರೊಂದಿಗೆ ಬದಲಾಗುತ್ತದೆ.

ಸೇವೆ ಯಾವ ಆವೃತ್ತಿಯನ್ನು ಮುಗಿಸುತ್ತದೆ ಮತ್ತು ಅದು ಮಾನಕ ಆಧಾರಿತ ಅನುಷ್ಠಾನವನ್ನು ಅಥವಾ ತನ್ನದೇ ಕ್ಲೈಂಟ್ ಇರುವ ಮಾರಾಟಗಾರನ ರೂಪಾಂತರವನ್ನು ನಡೆಸುತ್ತದೆಯೇ ಎಂದು ಕೇಳಿ. ಕಾರ್ಯಾಚರಣಾ ವ್ಯವಸ್ಥೆಯ ಮೆನುಗಳು ಆ ಉತ್ತರವನ್ನು ಒಂದೇ ಲೇಬಲ್ ಹಿಂದೆ ಮರೆಮಾಡುತ್ತವೆ. ಲೇಬಲ್ ಪ್ರೋಟೋಕಾಲ್ ಅಲ್ಲ.

ಎರಡನೇ ಮನವಿ: ಕ್ಲೈಂಟ್‌ನ ದೃಢೀಕರಣ ವಿಧಾನ

ದೃಢೀಕರಣವೇ ನಿಜವಾದ ಕೆಲಸದ ಬಹುಪಾಲು ಇರುವ ಸ್ಥಳ. ಸೇವೆ ನಿರ್ದಿಷ್ಟ ವಿಸ್ತೃತ ಕೀ ಬಳಕೆಯ ಮೆಷಿನ್ ಪ್ರಮಾಣಪತ್ರ, ಬಳಕೆದಾರ ಪ್ರಮಾಣಪತ್ರ, IKEv2 ಮೇಲಿನ EAP ವಿಧಾನ ಅಥವಾ ಗುರುತಿಗೆ ಬದ್ಧವಾದ ಪೂರ್ವ-ಹಂಚಿದ ಕೀಯನ್ನು ನಿರೀಕ್ಷಿಸಬಹುದು. ಯಾವುದು ಅನ್ವಯವಾಗುತ್ತದೆ ಎಂಬುದು ಕ್ಲೈಂಟ್‌ಗೆ ಏನು ಬೇಕು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.

WireGuard ಖಾಸಗಿ ಕೀ ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಅಲ್ಲ. ಅದು ಒಂದು ನಿರ್ದಿಷ್ಟ ಹ್ಯಾಂಡ್‌ಶೇಕ್‌ನಲ್ಲಿ ಬಳಸುವ Curve25519 ಕೀ. ಯಾವುದೇ ಪರಿವರ್ತನೆ ಅದನ್ನು ಪ್ರಮಾಣಪತ್ರ ಅಥವಾ EAP ರುಜುವಾತಾಗಿ ಮಾಡುವುದಿಲ್ಲ. ವಿರುದ್ಧವಾಗಿ ಹೇಳುವ ಸಾಧನ ಫೈಲ್ ಹೆಸರು ಬದಲಿಸುತ್ತಿದೆ ಅಥವಾ ಸಂಬಂಧವಿಲ್ಲದ್ದನ್ನು ಉತ್ಪಾದಿಸುತ್ತಿದೆ.

RFC 7296 ನಲ್ಲಿನ IKEv2 ವಿಶೇಷಣ ಆ ಆವೃತ್ತಿಯ ಅನುಷ್ಠಾನ ಏನನ್ನು ಬೆಂಬಲಿಸಬೇಕು ಎಂಬುದನ್ನು ವಿವರಿಸುತ್ತದೆ. ಇದು ನಿರ್ವಾಹಕರ ಅಸ್ಪಷ್ಟ ಉತ್ತರಕ್ಕೆ ಉಲ್ಲೇಖ, ಕ್ಲೈಂಟ್ ಸಂರಚನಾ ಮಾರ್ಗದರ್ಶಿ ಅಲ್ಲ.

ಮೂರನೇ ಮನವಿ: ವಿಶ್ವಾಸಾರ್ಹ ಗುರುತು ಮತ್ತು ಗಮ್ಯಸ್ಥಾನಗಳು

ಗೇಟ್‌ವೇಯ ಗುರುತನ್ನು ಕ್ಲೈಂಟ್ ನೋಡಬೇಕಾದ ರೀತಿಯಲ್ಲಿ ಕೇಳಿ, ಜೊತೆಗೆ ಅದನ್ನು ಪರಿಶೀಲಿಸುವ ವಿಶ್ವಾಸ ಆಂಕರ್. ನಂತರ ಸೇವೆ ಯಾವ ಖಾಸಗಿ ಶ್ರೇಣಿಗಳು ಮತ್ತು ಪರಿಹಾರಕಗಳನ್ನು ತಳ್ಳುತ್ತದೆ ಎಂದು ಕೇಳಿ. ಆ ಎರಡು ಉತ್ತರಗಳು ಸುರಂಗ ನಿಜವಾಗಿ ಏನನ್ನು ಸಾಗಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ.

ಅವು ಇಲ್ಲದೆ ಕೆಲಸ ಮಾಡುವ ಸಂಪರ್ಕವೂ ಕಾರ್ಯದಲ್ಲಿ ವಿಫಲವಾಗಬಹುದು. ತಳ್ಳಿದ ಪರಿಹಾರಕವಿಲ್ಲದೆ ಏರಿದ ಸುರಂಗ ಆಂತರಿಕ ಹೆಸರುಗಳನ್ನು ಉತ್ತರವಿಲ್ಲದೆ ಬಿಡುತ್ತದೆ. ಕಾಣೆಯಾದ ಸಂಚಾರ ಆಯ್ಕೆದಾರ ಗಮ್ಯಸ್ಥಾನವನ್ನು ಸುರಂಗದ ಹೊರಗೆ ಬಿಡುತ್ತದೆ, ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಯಶಸ್ವಿಯಾದರೂ.

ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ತನಿಖೆ ಕ್ಲೈಂಟ್ ದೋಷಕ್ಕಿಂತ ವಿಭಿನ್ನ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ. ಸಂಯೋಜನೆ ಇಲ್ಲದ ತಲುಪಬಹುದಾದ ಪೋರ್ಟ್ ದೃಢೀಕರಣವನ್ನು ಸೂಚಿಸುತ್ತದೆ, ತಲುಪಲಾಗದ ಪೋರ್ಟ್ ಮಾರ್ಗವನ್ನು ಸೂಚಿಸುತ್ತದೆ.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

ಕ್ಲೈಂಟ್‌ನಲ್ಲಿ ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಆ ತನಿಖೆ ನಡೆಸಿ. ಪೋರ್ಟ್‌ಗಳು ಉತ್ತರಿಸಿ ಸಂಯೋಜನೆ ಇನ್ನೂ ವಿಫಲವಾದರೆ, ಸಮಸ್ಯೆ ರುಜುವಾತುಗಳಲ್ಲಿ ಅಥವಾ ನೀತಿಯಲ್ಲಿ. ಅವು ಏನೂ ಉತ್ತರಿಸದಿದ್ದರೆ, ಪ್ರೊಫೈಲ್ ಸಂಪಾದನೆ ಸಹಾಯ ಮಾಡದು.

ಎರಡೂ ಪ್ರೋಟೋಕಾಲ್‌ಗಳು ಒಟ್ಟಿಗೆ ಇರಬೇಕಾದಾಗ

ಎರಡೂ ನೆಟ್‌ವರ್ಕ್‌ಗಳ ನಿರ್ವಹಣೆ ಎರಡೂ ಪ್ರೋಟೋಕಾಲ್‌ಗಳನ್ನು ಉಳಿಸಿಕೊಳ್ಳಲು ಸಮಂಜಸ ಕಾರಣ. ಸಾಮಾನ್ಯ ವಿನ್ಯಾಸ WireGuard ಮತ್ತು IPsec ಅನ್ನು ಪ್ರತ್ಯೇಕ ಇಂಟರ್ಫೇಸ್‌ಗಳಲ್ಲಿ ಅಥವಾ ಪ್ರತ್ಯೇಕ ಗೇಟ್‌ವೇಗಳಲ್ಲಿ ಮುಗಿಸುತ್ತದೆ. ಅನುಮೋದಿತ ಸಂಚಾರ ನಂತರ ಅವುಗಳ ನಡುವೆ ಮಾರ್ಗನಿರ್ದೇಶನವಾಗುತ್ತದೆ.

ಆ ವಿನ್ಯಾಸ ವಿಶ್ವಾಸ ಮತ್ತು ಅಧಿಕಾರದ ಗಡಿಯನ್ನು ತರುತ್ತದೆ, ಮತ್ತು ಅದನ್ನು ಹಾಗೆಯೇ ಬರೆದಿಡಬೇಕು. ಯಾವ ಪೀರ್‌ಗಳು ದಾಟಬಹುದು, ಯಾವ ದಿಕ್ಕಿನಲ್ಲಿ ಮತ್ತು ಯಾರ ನೀತಿಯ ಅಡಿಯಲ್ಲಿ ಎಂಬುದು ಮಾರ್ಗನಿರ್ದೇಶನ ಮತ್ತು ಫೈರ್‌ವಾಲ್ ನಿರ್ಧಾರ. ಯಾವುದೇ ಪ್ರೋಟೋಕಾಲ್ ಅದನ್ನು ಒದಗಿಸುವುದಿಲ್ಲ.

ಅದು ಏನಲ್ಲ ಎಂದರೆ ಪಾರದರ್ಶಕ ಪರಿವರ್ತನೆ. WireGuard ಮೂಲಕ ಬರುವ ಸಂಚಾರ IPsec ಸುರಂಗದಲ್ಲಿ ಮತ್ತೆ ಸೃಷ್ಟಿಯಾಗುತ್ತದೆ, ಮತ್ತು ನಡುವಿನ ಪ್ರತಿ ನೀತಿ ಅದಕ್ಕೆ ಅನ್ವಯವಾಗುತ್ತದೆ.

ಮೊದಲು ಸರ್ವರ್‌ನ ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ದೃಢೀಕರಣ ಅಗತ್ಯಗಳನ್ನು ಸ್ಪಷ್ಟಪಡಿಸಿ. ನಂತರ ನಿರ್ವಾಹಕರು ಬೆಂಬಲಿಸುವ ಕ್ಲೈಂಟ್ ಮತ್ತು ನೋಂದಣಿ ಮಾರ್ಗವನ್ನು ಬಳಸಿ, ಮತ್ತು ಆ ಸಮಯದಲ್ಲಿ ಖಾಸಗಿ ಕೀಗಳನ್ನು ವೆಬ್ ಪರಿವರ್ತಕಗಳಿಂದ ದೂರವಿಡಿ.