IPsec гарцын WireGuard профайл: оронд нь юу асуух вэ

WireGuard клиент IKE хэлээр ярьж чадахгүй. Протоколын хувилбар, баталгаажуулалтын арга, гарцын итгэмжлэгдсэн таних тэмдгийг асуугаарай.

Дуугүй гарцтай гар барилтын хугацаа дуусах нь ихэвчлэн хэзээ ч уулздаггүй хоёр протоколыг илэрхийлдэг. WireGuard хань Noise хэлээр ярьж, IPsec гарц IKE-г хүлээнэ. Зөв хаяг, порт үүнийг өөрчлөхгүй.

Профайл дахь төгсгөлийн цэгийг дахин ашиглах нь хоёрыг холбохгүй. Дараагийн алхам бол гарцыг удирддаг хүнд хүсэлт илгээх явдал юм.

Эхний хүсэлт: протоколын хувилбар

IPsec нь нэг ажлын урсгал биш, гэр бүлийг нэрлэдэг. IKEv2 ба IKEv1 нь өөрсдийн солилцоо, баталгаажуулалтын сонголт, сүлжээ өөрчлөгдөх үеийн зан төлөвөөрөө ялгаатай. Зөвхөн IKEv1-г дуусгадаг гарц нь IKEv2 санал болгодог гарцаас огт өөр зан гаргана. Клиентийн тохиргоо ч үүнтэй хамт өөрчлөгдөнө.

Үйлчилгээ аль хувилбарыг дуусгадаг, стандартад суурилсан хэрэгжүүлэлт эсвэл өөрийн клиенттэй нийлүүлэгчийн хувилбарыг ажиллуулдаг эсэхийг асуугаарай. Үйлдлийн системийн цэснүүд энэ хариултыг ихэвчлэн нэг шошгоны ард нуудаг. Шошго нь протокол биш.

Хоёр дахь хүсэлт: клиентийн баталгаажуулалтын арга

Баталгаажуулалт бол бодит ажлын ихэнх хэсэг байдаг газар. Үйлчилгээ нь тодорхой өргөтгөсөн түлхүүр хэрэглээтэй машины сертификат, хэрэглэгчийн сертификат, IKEv2 дээрх EAP арга эсвэл таних тэмдэгтэй холбогдсон урьдчилан хуваалцсан түлхүүр хүлээж болно. Аль нь хамаарах нь клиентэд юу хэрэгтэйг тодорхойлно.

WireGuard-ийн хувийн түлхүүр нь эдгээрийн аль нь ч биш. Энэ нь нэг тодорхой гар барилтад ашиглагддаг Curve25519 түлхүүр юм. Ямар ч хөрвүүлэлт үүнийг сертификат эсвэл EAP итгэмжлэл болгохгүй. Эсрэгээр нь мэдэгддэг хэрэгсэл файлын нэрийг өөрчилж байгаа эсвэл холбоогүй зүйл үүсгэж байгаа хэрэг.

RFC 7296 дахь IKEv2 тодорхойлолт нь тухайн хувилбарын хэрэгжүүлэлт юуг дэмжих ёстойг тайлбарладаг. Энэ нь операторын тодорхойгүй хариултад зориулсан лавлагаа бөгөөд клиентийн тохиргооны гарын авлага биш.

Гурав дахь хүсэлт: итгэмжлэгдсэн таних тэмдэг ба очих газрууд

Гарцын таних тэмдгийг клиент харах ёстой хэлбэрээр, түүнийг баталгаажуулах итгэлцлийн зангуутай хамт асуугаарай. Дараа нь үйлчилгээ ямар хувийн мужид, шийдвэрлэгчийг илгээдэг талаар асуугаарай. Тэр хоёр хариулт нь туннель үнэндээ юу зөөдөг болохыг тодорхойлно.

Тэдгээргүйгээр ажиллаж буй холболт ч даалгаврыг биелүүлж чадахгүй байж болно. Илгээсэн шийдвэрлэгчгүй боссон туннель дотоод нэрсийг хариугүй үлдээдэг. Дутуу урсгал сонгогч нь очих газрыг туннелиас гадуур үлдээдэг, гар барилт амжилттай болсон ч.

Төгсгөлийн цэгийн шалгалт нь клиентийн алдаанаас өөр асуултад хариулдаг. Холболтгүй хүрч болох порт нь баталгаажуулалтыг заадаг бол хүрч болохгүй порт нь замыг заадаг.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Клиентэд юу ч өөрчлөхөөс өмнө энэ шалгалтыг хийгээрэй. Портнууд хариулж, холболт нь бүтэлгүйтсээр байвал асуудал итгэмжлэл эсвэл бодлогод байна. Хэрэв тэд огт хариулахгүй бол профайлын ямар ч засвар тус болохгүй.

Хоёр протокол хамт оршин тогтнох ёстой үед

Хоёр сүлжээг зэрэг удирдах нь хоёр протоколыг хадгалах хууль ёсны шалтгаан юм. Ердийн загвар нь WireGuard ба IPsec-ийг тусдаа интерфейс эсвэл тусдаа гарцуудад дуусгадаг. Зөвшөөрөгдсөн урсгал дараа нь тэдгээрийн хооронд маршрутлагдана.

Тэр загвар нь итгэл ба зөвшөөрлийн хил хязгаарыг оруулж ирдэг бөгөөд үүнийгээ тэгж бичих ёстой. Аль хань дамжиж болох, аль чиглэлд, хэний бодлогын дор байх нь маршрутлалт ба галт хананы шийдвэр юм. Аль ч протокол үүнийг өгдөггүй.

Энэ биш зүйл нь ил тод хөрвүүлэлт юм. WireGuard-аар ирсэн урсгал IPsec туннельд дахин үүсч, хооронд нь байгаа бүх бодлого түүнд хамаарна.

Эхлээд серверийн протокол ба баталгаажуулалтын шаардлагыг тодруулаарай. Дараа нь оператор дэмждэг клиент ба бүртгэлийн замыг ашиглаж, энэ хугацаанд хувийн түлхүүрүүдийг вэб хөрвүүлэгчдээс хол байлгаарай.

Холбоотой нийтлэлүүд