WireGuard-Profil fir en IPsec-Gateway: wat een amplaz froe soll

Handshake-Zäitüberschrëdungen un engem stille Gateway bedeiten normalerweis zwee Protokollen, déi sech ni begéinen. En WireGuard-Peer schwätzt Noise, während en IPsec-Gateway op IKE waart. Eng korrekt Adress an en korrekte Port änneren dat net.

D'Endpunkt an engem Profil erëm benotzen iwwerbréckt déi zwee net. Den nächsten Schrëtt ass eng Ufro un deen, deen de Gateway bedreift.

Ufro eent: d'Protokollversioun

IPsec bezeechent eng Famill an net een eenzegen Aarbechtsfloss. IKEv2 an IKEv1 ënnerscheede sech an hirem Austausch, hiren Authentifizéierungsoptiounen an hirem Verhalen bei engem Netzwierkwiessel. En Gateway, deen nëmmen IKEv1 terminéiert, wäert sech ganz anescht behuelen wéi een, deen IKEv2 ubitt. D'Clientkonfiguratioun ännert sech domat.

Frot, wéi eng Versioun den Déngscht terminéiert an ob en eng standardbaséiert Implementatioun oder eng Fournisseursvariant mat eegene Client bedreift. Betribssystemmenüen verstoppen dës Äntwert dacks hannert engem eenzegen Etikett. Den Etikett ass net de Protokoll.

Ufro zwee: d'Authentifizéierungsmethod vum Client

D'Authentifizéierung ass do, wou de gréissten Deel vun der richteger Aarbecht läit. Den Déngscht kann e Maschinnenzertifikat mat enger bestëmmter erweiderter Schlësselnotzung, e Benotzerzertifikat, eng EAP-Method iwwer IKEv2 oder e virdru gedeelte Schlëssel erwaarden, deen un eng Identitéit gebonnen ass. Wat gëllt, decidéiert wat den Client brauch.

En private WireGuard-Schlëssel ass keen vun deene Saachen. Et ass e Curve25519-Schlëssel, deen an engem spezifeschen Handshake benotzt gëtt. Keng Konversioun mécht en dovu fir en Zertifikat oder en EAP-Identitéitsnoweis. En Instrument, dat anescht behaapt, benennt d'Datei ëm oder generéiert eppes Onverbonnenes.

D'IKEv2-Spezifikatioun an RFC 7296 beschreift, wat eng Implementatioun vun där Versioun muss ënnerstëtzen. Et ass eng Referenz fir eng vag Betreiberäntwert, keen Guide fir d'Clientkonfiguratioun.

Ufro dräi: déi vertraut Identitéit an d'Destinatiounen

Frot no der Identitéit vum Gateway sou wéi den Client se mussi gesinn, plus de Vertrauensanker, deen se validéiert. Frot duerno, wéi eng privat Beräicher a Resolver den Déngscht dréckt. Déi zwou Äntwerten decidéieren, wat den Tunnel tatsächlech transportéiert.

Ouni si kann eng funktionéierend Verbindung d'Aufgab nach ëmmer verpassen. En Tunnel, dee steet awer keen gedréckte Resolver huet, léisst intern Nimm onbeäntwert. En feelenden Trafikselektor léisst d'Destinatioun ausserhalb vum Tunnel, och wann den Handshake gelungen ass.

Eng Sonde vum Endpunkt beäntwert eng aner Fro wéi de Clientfehler. En erreechbare Port ouni Associatioun weist op d'Authentifizéierung hin, während en onerreechbare Port op de Wee weist.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Féiert déi Sonde aus, ier Dir eppes am Client ännert. Wann d'Porten äntweren an d'Associatioun nach ëmmer feelt, ass de Problem d'Identitéitsnoweisen oder d'Politik. Wann se guer net äntweren, hëlleft keng Profilännerung.

Wann déi zwou Protokollen mussen zesummen existéieren

Déi zwou Netzwierker administréieren ass e legitime Grond, déi zwou Protokollen ze behalen. Den üblechen Design terminéiert WireGuard an IPsec op getrennten Interface oder getrennten Gateways. Den approuvéierten Trafik gëtt dann tëschent hinnen geroutet.

Dee Design féiert eng Vertrauens- an Autorisatiounsgrenz an, an se soll als sou festgehale ginn. Wéi eng Peeren däerfen iwwerqueren, a wéi eng Richtung a ënner wiem senger Politik, ass eng Routing- a Firewallentscheedung. Keen vun deenen zwou Protokollen liwwert se.

Wat et net ass, ass eng transparent Konversioun. Trafik, deen iwwer WireGuard ukommt, gëtt an den IPsec-Tunnel nei erreegt, a jidderengem Politik dertëschent gëllt dofir.

Kläert als éischt d'Protokoll- an d'Authentifizéierungsufuerderunge vum Server. Benotzt duerno de Client an de Registréierungswee, deen den Betreiber ënnerstëtzt, a haalt privat Schlësselen aus Webkonverteren eraus, während dat geschitt.