IPsec ਪ੍ਰਸਤਾਵ ਵਿੱਚ ਕੀ ਆਉਂਦਾ ਹੈ? IKE ਅਤੇ ESP ਖੇਤਰ
ਪ੍ਰਸਤਾਵ ਇੱਕ ਪੂਰਾ ਪੇਸ਼ਕਸ਼ ਹੈ, ਐਲਗੋਰਿਦਮ ਦੀ ਥੈਲੀ ਨਹੀਂ। ਵੇਖੋ ਕਿਹੜੇ ਖੇਤਰ IKE ਦੇ ਹਨ ਅਤੇ ਕਿਹੜੇ ESP ਦੇ, ਅਤੇ ਕਿਉਂ ਇੱਕ ਬੇਮੇਲ ਪੂਰੇ ਸੈੱਟ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ।
IKE ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ, ਦੋਵੇਂ ਪੀਅਰ AES ਦੀ ਘੋਸ਼ਣਾ ਕਰਦੇ ਹਨ, ਅਤੇ ਟਨਲ ਫਿਰ ਵੀ NO_PROPOSAL_CHOSEN ਨਾਲ ਅਸਫਲ ਹੋ ਜਾਂਦੀ ਹੈ। ਲਾਗ ਪ੍ਰਸਤਾਵ ਦਾ ਨਾਮ ਦੱਸਦਾ ਹੈ ਪਰ ਉਸ ਖੇਤਰ ਦਾ ਨਹੀਂ ਜੋ ਮੇਲ ਨਹੀਂ ਖਾਇਆ। ਪ੍ਰਸਤਾਵ ਇੱਕ ਪੂਰਾ ਪੇਸ਼ਕਸ਼ ਹੈ, ਅਤੇ ਇੱਕ ਅਸੰਗਤ ਖੇਤਰ ਪੂਰੇ ਸੰਯੋਗ ਨੂੰ ਅਵੈਧ ਕਰ ਦਿੰਦਾ ਹੈ, ਸਿਰਫ਼ ਉਸ ਲਾਈਨ ਨੂੰ ਨਹੀਂ। ਇਸਨੂੰ ਸੁਤੰਤਰ ਐਲਗੋਰਿਦਮ ਚੋਣਾਂ ਦੀ ਥੈਲੀ ਵਜੋਂ ਪੜ੍ਹਨਾ ਹੀ ਉਹ ਆਮ ਕਾਰਨ ਹੈ ਜਿਸ ਕਰਕੇ ਬੇਮੇਲ ਅਦਿੱਖ ਰਹਿੰਦਾ ਹੈ।
ਵੱਖਰੀਆਂ ਪ੍ਰਸਤਾਵ-ਸੂਚੀਆਂ ਵਾਲੀਆਂ ਦੋ ਗੱਲਬਾਤਾਂ
IKEv2 ਦੋ ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਬਣਾਉਂਦਾ ਹੈ। ਪਹਿਲਾ IKE SA ਹੈ, ਜੋ ਨਿਯੰਤਰਣ ਵਟਾਂਦਰੇ ਦੀ ਖੁਦ ਰੱਖਿਆ ਕਰਦਾ ਹੈ, ਅਤੇ ਦੂਜਾ CHILD SA ਹੈ, ਜੋ ਤੁਹਾਡਾ ਟਰੈਫਿਕ ESP ਰਾਹੀਂ ਲੈ ਜਾਂਦਾ ਹੈ। ਹਰੇਕ ਦੀ ਆਪਣੀ ਪ੍ਰਸਤਾਵ-ਸੂਚੀ ਹੈ, ਅਤੇ ਪੀਅਰ ਇੱਕ ਨੂੰ ਸਵੀਕਾਰ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਦੂਜੇ ਨੂੰ ਰੱਦ।
ਇਹ ਵੰਡ ਇੱਕ ਆਮ ਉਲਝਣ ਸਮਝਾਉਂਦੀ ਹੈ: ਕੰਮ ਕਰਦਾ IKE SA ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਨਿਯੰਤਰਣ-ਚੈਨਲ ਦੇ ਐਲਗੋਰਿਦਮ ਮੇਲ ਖਾਏ। ਜੇ CHILD ਪ੍ਰਸਤਾਵ ਅਸਫਲ ਹੋਵੇ, ਤਾਂ ਟਨਲ ਇੱਕ ਵੀ ਪੈਕਟ ਨਹੀਂ ਲੈ ਜਾਂਦੀ, ਚਾਹੇ ਪਹਿਲਾ ਪੜਾਅ ਪੂਰਾ ਹੋਵੇ ਅਤੇ ਲਾਗ ਉੱਪਰੋਂ ਸਿਹਤਮੰਦ ਦਿਸਣ।
ਹਰ ਸੂਚੀ ਦੇ ਅੰਦਰ ਕ੍ਰਮ ਵੀ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਸ਼ੁਰੂਆਤ ਕਰਨ ਵਾਲੇ ਦੀਆਂ ਕ੍ਰਮਬੱਧ ਪੇਸ਼ਕਸ਼ਾਂ ਵਿੱਚੋਂ ਚੁਣਦਾ ਹੈ, ਇਸ ਲਈ ਕਿਸੇ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਅਨੁਕੂਲ ਐਂਟਰੀ ਨੂੰ ਤੰਗ ਐਂਟਰੀ ਤੋਂ ਉੱਪਰ ਭੇਜਣ ਨਾਲ ਇਹ ਬਦਲ ਜਾਂਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਸੈੱਟ ਸਥਾਪਿਤ ਹੋਵੇਗਾ, ਪਰ ਕਿਸੇ ਐਲਗੋਰਿਦਮ ਦਾ ਨਾਮ ਨਹੀਂ ਬਦਲਦਾ। ਡਿਫਾਲਟ 'ਤੇ ਨਿਰਭਰ ਹੋਣ ਦੀ ਬਜਾਏ ਉਹ ਕ੍ਰਮ ਸੰਰਚਨਾ ਵਿੱਚ ਪਿੰਨ ਕਰੋ। ਸਥਿਰ ਕ੍ਰਮ ਸਾਈਟਾਂ ਵਿਚਕਾਰ ਲਾਗ ਤੁਲਨਾ ਨੂੰ ਵੀ ਅਰਥਪੂਰਨ ਬਣਾਉਂਦਾ ਹੈ।
ਕਿਹੜੇ ਖੇਤਰ ਕਿਹੜੇ ਪ੍ਰਸਤਾਵ ਦੇ ਹਨ
ਖੇਤਰਾਂ ਦਾ ਸੈੱਟ ਛੋਟਾ ਹੈ, ਪਰ ਦੋਵੇਂ ਗੱਲਬਾਤਾਂ ਵਿੱਚ ਇੱਕੋ ਜਿਹਾ ਨਹੀਂ। ਸਾਰਣੀ ਨੂੰ ਕਤਾਰ ਦਰ ਕਤਾਰ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਇੱਕ ਕਾਲਮ ਦਾ ਖੇਤਰ ਦੂਜੇ ਵਿੱਚ ਨਹੀਂ ਹੋ ਸਕਦਾ। ਵਾਕ ਰਚਨਾ ਲਾਗੂਕਰਨ ਅਨੁਸਾਰ ਬਦਲਦੀ ਹੈ; strongSwan ਦਾ ਪ੍ਰਸਤਾਵ-ਦਸਤਾਵੇਜ਼ ਇੱਕ ਠੋਸ ਹਵਾਲਾ ਹੈ।
| Field | IKE SA proposal | CHILD SA proposal |
|---|---|---|
| Encryption | Required | Required |
| Integrity | Required unless AEAD | Required unless AEAD |
| PRF | Required | Not present |
| DH group | Required | Only for PFS |
| ESN | Not present | Optional |
ਇਨਕ੍ਰਿਪਸ਼ਨ ਖੇਤਰ ਸਾਈਫਰ ਅਤੇ ਬਹੁਤੀਆਂ ਵਾਕ ਰਚਨਾਵਾਂ ਵਿੱਚ ਉਸਦੀ ਕੁੰਜੀ-ਲੰਬਾਈ ਦੱਸਦਾ ਹੈ। ਅਖੰਡਤਾ ਖੇਤਰ ਉਹ ਹੈਸ਼ ਦੱਸਦਾ ਹੈ ਜੋ ਸਾਈਫਰਟੈਕਸਟ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ PRF ਉਹ ਫੰਕਸ਼ਨ ਦੱਸਦਾ ਹੈ ਜੋ IKE SA ਲਈ ਕੁੰਜੀ-ਸਮੱਗਰੀ ਕੱਢਦਾ ਹੈ। DH ਸਮੂਹ ਨਵੀਂ ਸਾਂਝੀ ਗੁਪਤ ਸਮੱਗਰੀ ਸਥਾਪਿਤ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਦੋਵੇਂ ਪਾਸਿਆਂ ਦਿਸਦਾ ਹੈ ਪਰ ਵੱਖਰੇ ਮਕਸਦਾਂ ਲਈ।
ਵਿਸਤਾਰਿਤ ਕ੍ਰਮ-ਸੰਖਿਆਵਾਂ ਸਿਰਫ਼ ਡੇਟਾ-ਮਾਰਗ ਦੀਆਂ ਹਨ। ਉਹ ਕ੍ਰਮ-ਥਾਂ ਨੂੰ ਚੌੜਾ ਕਰਦੀਆਂ ਹਨ ਅਤੇ CHILD ਪ੍ਰਸਤਾਵ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਗੱਲਬਾਤ ਹੁੰਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਉੱਥੋਂ ਦੀ ਬੇਮੇਲ CHILD ਪੇਸ਼ਕਸ਼ ਨੂੰ ਰੱਦ ਕਰਦੀ ਹੈ ਅਤੇ IKE SA ਅਛੂਤ ਰਹਿੰਦਾ ਹੈ।
ਇੱਕ ਪੂਰੀ ਪੇਸ਼ਕਸ਼ ਕਿਵੇਂ ਚੁਣੀ ਜਾਂਦੀ ਹੈ
ਹਰ ਪ੍ਰਸਤਾਵ ਇੱਕ ਸੈੱਟ ਹੈ, ਅਤੇ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਉਹ ਸੈੱਟ ਲੱਭਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਹਰ ਲਾਜ਼ਮੀ ਖੇਤਰ ਸਵੀਕਾਰਯੋਗ ਹੋਵੇ। ਦੋਵੇਂ ਸੂਚੀਆਂ ਵਿੱਚ AES ਅਤੇ SHA-256 ਹੋ ਸਕਦੇ ਹਨ ਅਤੇ ਫਿਰ ਵੀ ਕੋਈ ਅਨੁਕੂਲ ਐਂਟਰੀ ਨਹੀਂ ਹੋ ਸਕਦੀ, ਕਿਉਂਕਿ ਕੁੰਜੀ-ਲੰਬਾਈ, PRF ਜਾਂ DH ਸਮੂਹ ਵੱਖਰੇ ਹਨ। ਤੁਲਨਾ ਹਰ ਐਲਗੋਰਿਦਮ ਅਨੁਸਾਰ ਨਹੀਂ, ਹਰ ਪ੍ਰਸਤਾਵ ਅਨੁਸਾਰ ਹੁੰਦੀ ਹੈ।
ਜੇ ਕੁਝ ਵੀ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ, ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਅਸਫਲ SA ਕਿਸਮ ਨਾਲ NO_PROPOSAL_CHOSEN ਭੇਜਦਾ ਹੈ। ਸੰਰਚਨਾ ਸੰਪਾਦਿਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੜ੍ਹੋ ਕਿ ਸੂਚਨਾ ਕਿਹੜੀ ਪ੍ਰਸਤਾਵ-ਸੂਚੀ ਨਾਲ ਸਬੰਧਤ ਹੈ; IKE ਪ੍ਰਸਤਾਵ ਰੱਦ ਹੋਣ 'ਤੇ ESP ਐਲਗੋਰਿਦਮ ਬਦਲਣਾ ਡੀਬੱਗਿੰਗ ਦਾ ਇੱਕ ਚੱਕਰ ਬਰਬਾਦ ਕਰਦਾ ਹੈ।
ਪ੍ਰੋਫਾਈਲ ਟਿਊਨ ਕਰਦੇ ਸਮੇਂ ਚੋਣ-ਵਿਵਹਾਰ ਜਾਣਨਾ ਲਾਹੇਵੰਦ ਹੈ। ਕੁਝ ਲਾਗੂਕਰਨ ਸ਼ੁਰੂਆਤ ਕਰਨ ਵਾਲੇ ਦਾ ਕ੍ਰਮ ਪਸੰਦ ਕਰਦੇ ਹਨ, ਹੋਰ ਸਥਾਨਕ ਨੀਤੀ ਅਨੁਸਾਰ ਮੁੜ ਕ੍ਰਮ ਲਗਾਉਂਦੇ ਹਨ, ਇਸ ਲਈ ਦੋ ਵਿਕਰੇਤਾਵਾਂ ਵਿਚਕਾਰ ਕੰਮ ਕਰਨ ਵਾਲਾ ਸੈੱਟ ਗਾਇਬ ਹੋ ਸਕਦਾ ਹੈ ਜਦੋਂ ਤੁਸੀਂ ਉਲਟਾਉਂਦੇ ਹੋ ਕਿ ਕਿਹੜਾ ਪਾਸਾ ਕਨੈਕਸ਼ਨ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ।
AEAD ਖੇਤਰ ਜੋੜਨ ਦੀ ਬਜਾਏ ਹਟਾਉਂਦਾ ਹੈ
AES-GCM ਅਤੇ ChaCha20-Poly1305 ਇੱਕੋ ਕਿਰਿਆ ਵਿੱਚ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਇਨਕ੍ਰਿਪਸ਼ਨ ਕਰਦੇ ਹਨ। ਜਦੋਂ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ESP ਲਈ ਚੁਣਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਅਖੰਡਤਾ ਐਲਗੋਰਿਦਮ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਗੱਲਬਾਤ ਨਹੀਂ ਹੁੰਦਾ, ਕਿਉਂਕਿ AEAD ਬਣਾਵਟ ਇਸਨੂੰ ਪਹਿਲਾਂ ਹੀ ਢਕਦੀ ਹੈ। ਇਸ ਲਈ AES-GCM ਨੂੰ SHA-256 ਨਾਲ ਜੋੜਨ ਵਾਲਾ ਪ੍ਰਸਤਾਵ ਵਧੀਆ ਸਥਿਤੀ ਵਿੱਚ ਵਾਧੂ ਹੈ ਅਤੇ ਸਭ ਤੋਂ ਮਾੜੀ ਵਿੱਚ ਰੱਦ।
PRF IKE ਪਾਸੇ ਹਾਲੇ ਵੀ ਵੱਖਰਾ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਪੇਲੋਡ ਦੀ ਰੱਖਿਆ ਦੀ ਬਜਾਏ ਨਿਯੰਤਰਣ ਚੈਨਲ ਲਈ ਕੁੰਜੀਆਂ ਕੱਢਦਾ ਹੈ। ਇਸੇ ਲਈ IKE ਪ੍ਰਸਤਾਵ AEAD ਸਾਈਫਰ ਨੂੰ PRF ਅਤੇ DH ਸਮੂਹ ਨਾਲ ਜਾਇਜ਼ ਤੌਰ 'ਤੇ ਜੋੜ ਸਕਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਸੰਬੰਧਿਤ ESP ਪ੍ਰਸਤਾਵ ਸਿਰਫ਼ AEAD ਸਾਈਫਰ ਅਤੇ ਵਿਕਲਪਿਕ PFS ਸਮੂਹ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ।
ਕੁੰਜੀ-ਲੰਬਾਈ ਇਨਕ੍ਰਿਪਸ਼ਨ ਟੋਕਨ ਦਾ ਹਿੱਸਾ ਹੈ, ਇਸ ਲਈ AES-128-GCM ਅਤੇ AES-256-GCM ਵੱਖਰੀਆਂ ਪੇਸ਼ਕਸ਼ਾਂ ਹਨ। 256-bit ਕੁੰਜੀਆਂ ਮੰਨਣ ਵਾਲੀ ਮਾਰਗਦਰਸ਼ਿਕਾ ਤੋਂ ਕਾਪੀ ਕੀਤਾ ਪ੍ਰੋਫਾਈਲ 128-bit ਲਈ ਸੰਰਚਿਤ ਐਂਡਪੁਆਇੰਟ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਏਗਾ, ਭਾਵੇਂ ਦੋਵੇਂ ਲਾਈਨਾਂ AES-GCM ਕਹਿਣ। ਦੋ ਪੀਅਰ ਸਾਈਫਰ ਪਰਿਵਾਰ 'ਤੇ ਸਹਿਮਤ ਹੋ ਕੇ ਵੀ ਡੈਸ਼ ਤੋਂ ਬਾਅਦ ਦੀ ਸੰਖਿਆ ਕਾਰਨ ਇੱਕ ਦੂਜੇ ਨੂੰ ਰੱਦ ਸਕਦੇ ਹਨ।
ਸੰਰਚਨਾ ਨਹੀਂ, ਸਥਾਪਿਤ SA ਪੜ੍ਹੋ
ਸੰਰਚਿਤ ਪ੍ਰਸਤਾਵ-ਸੂਚੀ ਇੱਕ ਪੇਸ਼ਕਸ਼ ਹੈ; ਸਥਾਪਿਤ SA ਨਤੀਜਾ ਹੈ। strongSwan ਅਤੇ Linux ਕਰਨਲ 'ਤੇ ਦੋਵੇਂ ਦ੍ਰਿਸ਼ ਉਪਲਬਧ ਹਨ:
sudo swanctl --list-sas
sudo ip xfrm state
sudo ip xfrm policyswanctl --list-sas ਹਰ SA ਲਈ ਗੱਲਬਾਤ ਹੋਏ ਐਲਗੋਰਿਦਮ ਛਾਪਦਾ ਹੈ, CHILD AEAD ਵਰਤਦਾ ਹੈ ਕਿ ਨਹੀਂ ਇਹ ਵੀ ਸਮੇਤ। ip xfrm state ਕਰਨਲ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਸਥਾਪਿਤ ਕੀਤਾ ਦਿਖਾਉਂਦਾ ਹੈ, ਅਤੇ ਕੁੰਜੀ-ਨਵੀਨੀਕਰਨ ਤੁਹਾਡੇ ਦਸਤਾਵੇਜ਼ੀ ਸੈੱਟ ਤੋਂ ਵੱਖਰੇ ਸੈੱਟ 'ਤੇ ਵਾਪਸ ਨਹੀਂ ਗਿਆ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਦੀ ਥਾਂ ਉਹੀ ਹੈ।
ਸੁਧਾਰ ਤੋਂ ਬਾਅਦ ਉਹ ਆਉਟਪੁੱਟ ਸੰਰਚਨਾ ਦੇ ਨਾਲ ਸੰਭਾਲੋ। ਜਦੋਂ ਕਲਾਇੰਟ ਅਪਡੇਟ ਆਪਣੇ ਡਿਫਾਲਟ ਬਦਲਦਾ ਹੈ, ਦਰਜ ਸੈੱਟ ਤੁਹਾਨੂੰ ਤੁਲਨਾ ਲਈ ਅਧਾਰਰੇਖਾ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਤੁਲਨਾ ਜਾਂਚ ਨੂੰ ਸ਼ੁਰੂ ਤੋਂ ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਬਜਾਏ ਹਿੱਲੇ ਖੇਤਰ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ।