Profil WireGuard għal gateway IPsec: x'għandek titlob minflok

It-timeouts tal-handshake ma' gateway sieket normalment ifissru żewġ protokolli li qatt ma jiltaqgħu. Peer WireGuard jitkellem Noise filwaqt li gateway IPsec jistenna IKE. Indirizz u port korretti ma jbiddlux dan.

L-użu mill-ġdid tal-endpoint fi profil ma jgħaqqadx it-tnejn. Il-pass li jmiss huwa talba lil min imexxi l-gateway.

L-ewwel talba: il-verżjoni tal-protokoll

IPsec isemmi familja u mhux fluss tax-xogħol wieħed. IKEv2 u IKEv1 jvarjaw fl-iskambji tagħhom, fl-għażliet tal-awtentikazzjoni u fl-imġiba tagħhom meta jinbidel in-netwerk. Gateway li jtemm biss IKEv1 se jġib ruħu b'mod ferm differenti minn wieħed li joffri IKEv2. Il-konfigurazzjoni tal-klijent tinbidel miegħu.

Staqsi liema verżjoni jtemm is-servizz u jekk huwiex qed iħaddem implimentazzjoni bbażata fuq standards jew varjant tal-fornitur bil-klijent tiegħu. Il-menus tas-sistemi operattivi spiss jaħbu dik it-tweġiba wara tikka waħda. It-tikka mhix il-protokoll.

It-tieni talba: il-metodu tal-awtentikazzjoni tal-klijent

L-awtentikazzjoni hija fejn tinsab il-biċċa l-kbira tax-xogħol veru. Is-servizz jista' jistenna ċertifikat tal-magna b'użu estiż partikolari taċ-ċavetta, ċertifikat tal-utent, metodu EAP fuq IKEv2, jew ċavetta maqsuma minn qabel marbuta ma' identità. Liema tapplika jiddeċiedi x'għandu bżonn il-klijent.

Ċavetta privata WireGuard mhijiex waħda minn dawn. Hija ċavetta Curve25519 użata fi handshake speċifiku wieħed. L-ebda konverżjoni ma tagħmilha ċertifikat jew kredenzjali EAP. Għodda li tgħid mod ieħor qed tibdel l-isem tal-fajl jew tiġġenera xi ħaġa mhux relatata.

L-ispeċifikazzjoni IKEv2 f'RFC 7296 tiddeskrivi x'għandha tappoġġja implimentazzjoni ta' dik il-verżjoni. Hija referenza għal tweġiba vag tal-operatur, mhux gwida għall-konfigurazzjoni tal-klijent.

It-tielet talba: l-identità fdata u d-destinazzjonijiet

Itlob l-identità tal-gateway kif il-klijent għandu jaraha, flimkien mal-ankra tal-fiduċja li tivvalidaha. Imbagħad staqsi liema firxiet privati u resolvers is-servizz iimbotta. Dawk it-tweġibiet jiddeċiedu x'ġġorr it-tunnel fil-fatt.

Mingħajrhom konnessjoni li taħdem xorta tista' tfalli l-kompitu. Tunnel li jqum mingħajr resolver imbuttat iħalli ismijiet interni bla tweġiba. Selettur tat-traffiku nieqes iħalli d-destinazzjoni barra mit-tunnel għalkemm il-handshake rnexxa.

Sonda tal-endpoint twieġeb mistoqsija differenti mill-iżball tal-klijent. Port aċċessibbli mingħajr assoċjazzjoni tindika awtentikazzjoni, filwaqt li port inaċċessibbli jindika t-triq.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Mexxi dik is-sonda qabel ma tibdel xejn fil-klijent. Jekk il-ports iwieġbu u l-assoċjazzjoni għadha tfalli, il-problema hija l-kredenzjali jew il-politika. Jekk ma jwieġbu xejn, l-ebda editjar tal-profil ma jgħin.

Meta ż-żewġ protokolli jridu jikkoeżistu

L-amministrazzjoni taż-żewġ netwerks hija raġuni leġittima biex jinżammu ż-żewġ protokolli. Id-disinn tas-soltu jtemm WireGuard u IPsec fuq interfaces separati jew gateways separati. It-traffiku approvat imbagħad jiġi rroutat bejniethom.

Dak id-disinn jintroduċi fruntiera ta' fiduċja u awtorizzazzjoni, u għandha tiġi mniżżla bħala tali. Liema peers jistgħu jaqsmu, f'liema direzzjoni u taħt il-politika ta' min hija deċiżjoni ta' routing u firewall. L-ebda protokoll ma jipprovdiha.

Dak li mhuwiex hija konverżjoni trasparenti. It-traffiku li jasal permezz ta' WireGuard jerġa' jiġi oriġinat fit-tunnel IPsec, u kull politika bejniethom tapplika għalih.

Iċċara l-ewwel il-ħtiġijiet tal-protokoll u tal-awtentikazzjoni tas-server. Imbagħad uża l-klijent u t-triq tar-reġistrazzjoni li jappoġġja l-operatur, u żomm iċ-ċwievet privati 'l bogħod mill-konvertituri tal-web waqt li dan iseħħ.