IPsec шлюзу үчүн WireGuard профили: анын ордуна эмнени суроо керек

Үнсүз шлюз менен кол алышуунун убактысы бүтүшү адатта эч качан жолукпаган эки протоколду билдирет. WireGuard өнөктөшү Noise тилинде сүйлөйт, ал эми IPsec шлюзу IKE күтөт. Туура дарек жана порт муну өзгөртпөйт.

Профилдеги акыркы чекитти кайра колдонуу экөөнү байланыштырбайт. Кийинки кадам — шлюзду башкарган адамга өтүнүч жөнөтүү.

Биринчи өтүнүч: протокол версиясы

IPsec бир иш процессин эмес, үй-бүлөнү атайт. IKEv2 жана IKEv1 өздөрүнүн алмашуулары, аутентификация параметрлери жана тармак өзгөргөндөгү жүрүм-туруму менен айырмаланат. IKEv1-ди гана аяктоочу шлюз IKEv2 сунуштаган шлюздөн таптакыр башкача иштейт. Кардар конфигурациясы да ошого жараша өзгөрөт.

Кызмат кайсы версияны аяктаарын жана стандартка негизделген ишке ашырууну же өз кардары бар жеткирүүчүнүн вариантын иштетерин сураңыз. Операциялык системалардын менюлары бул жоопту көбүнчө бир белгинин артына жашырат. Белги — протокол эмес.

Экинчи өтүнүч: кардардын аутентификация ыкмасы

Аутентификация — чыныгы иштин көп бөлүгү жайгашкан жер. Кызмат белгилүү кеңейтилген ачкыч колдонулган машина сертификатын, колдонуучу сертификатын, IKEv2 үстүндөгү EAP ыкмасын же идентификацияга байланган алдын ала бөлүнгөн ачкычты күтүшү мүмкүн. Кайсынысы колдонулары кардарга эмне керек экенин аныктайт.

WireGuard жашыруун ачкычы булардын эч бири эмес. Ал бир конкреттүү кол алышууда колдонулган Curve25519 ачкычы. Эч бир айландыруу аны сертификатка же EAP күбөлүгүнө айландырбайт. Тескерисинче деп ырастаган курал файлдын атын өзгөртөт же байланышы жок нерсе жаратат.

RFC 7296-дагы IKEv2 спецификациясы ошол версиянын ишке ашырылышы эмнени колдошу керектигин сүрөттөйт. Бул оператордун бүдөмүк жообу үчүн маалымдама, кардар конфигурациясынын колдонмосу эмес.

Үчүнчү өтүнүч: ишенимдүү идентификация жана багыттар

Шлюздун идентификациясын кардар көрүшү керек болгон калыпта, аны текшерүүчү ишеним тиреги менен сураңыз. Андан кийин кызмат кайсы жеке диапазондорду жана чечүүчүлөрдү жиберерин сураңыз. Бул эки жооп туннел чындыгында эмнени ташыйарын аныктайт.

Аларсыз иштеп жаткан байланыш да тапшырманы аткара албашы мүмкүн. Жиберилген чечүүчүсүз көтөрүлгөн туннел ички аттарды жоопсуз калтырат. Жок трафик тандоочу багытты туннелден тышкары калтырат, кол алышуу ийгиликтүү болгонуна карабастан.

Акыркы чекитти текшерүү кардар катасынан башка суроого жооп берет. Байланышсыз жеткиликтүү порт аутентификацияга көрсөтөт, жеткиликсиз порт жолго көрсөтөт.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Кардарда бир нерсени өзгөртүүдөн мурун ушул текшерүүнү аткарыңыз. Порттор жооп берип, байланыш дагы эле ийгиликсиз болсо, маселе күбөлүктөрдө же саясатта. Эгер алар такыр жооп бербесе, профилди оңдоо жардам бербейт.

Эки протокол тең бирге болушу керек болгондо

Эки тармакты тең башкаруу эки протоколду тең кармоонун мыйзамдуу себеби. Адаттагы долбоор WireGuard менен IPsec-ти өзүнчө интерфейстерде же өзүнчө шлюздөрдө аяктайт. Бекитилген трафик андан кийин алардын ортосунда багытталат.

Бул долбоор ишеним жана уруксат чек арасын киргизет жана аны ошондой жазып коюу керек. Кайсы өнөктөштөр өтө алат, кайсы багытта жана кимдин саясаты боюнча — бул багыттоо жана файрвол чечими. Эки протоколдун бири да аны бербейт.

Бул эмес нерсе — ачык-айкын айландыруу. WireGuard аркылуу келген трафик IPsec туннелинде кайра жаралат жана ортодогу ар бир саясат ага колдонулат.

Алгач сервердин протокол жана аутентификация талаптарын тактаңыз. Андан кийин оператор колдогон кардарды жана каттоо жолун колдонуңуз, ошол эле учурда жашыруун ачкычтарды веб-айландыргычтардан алыс кармаңыз.