IPsec ਗੇਟਵੇ ਲਈ WireGuard ਪ੍ਰੋਫ਼ਾਈਲ: ਇਸ ਦੀ ਥਾਂ ਕੀ ਮੰਗਣਾ ਚਾਹੀਦਾ ਹੈ

ਚੁੱਪ ਗੇਟਵੇ ਨਾਲ ਹੈਂਡਸ਼ੇਕ ਦਾ ਸਮਾਂ ਖ਼ਤਮ ਹੋਣਾ ਆਮ ਤੌਰ 'ਤੇ ਦੋ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਅਰਥ ਹੁੰਦਾ ਹੈ ਜੋ ਕਦੇ ਨਹੀਂ ਮਿਲਦੇ। WireGuard ਪੀਅਰ Noise ਬੋਲਦਾ ਹੈ ਜਦੋਂ ਕਿ IPsec ਗੇਟਵੇ IKE ਦੀ ਉਡੀਕ ਕਰਦਾ ਹੈ। ਸਹੀ ਪਤਾ ਅਤੇ ਪੋਰਟ ਇਸ ਨੂੰ ਨਹੀਂ ਬਦਲਦੇ।

ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ ਐਂਡਪੌਇੰਟ ਦਾ ਦੁਬਾਰਾ ਇਸਤੇਮਾਲ ਦੋਵਾਂ ਨੂੰ ਨਹੀਂ ਜੋੜਦਾ। ਅਗਲਾ ਕਦਮ ਗੇਟਵੇ ਚਲਾਉਣ ਵਾਲੇ ਨੂੰ ਬੇਨਤੀ ਕਰਨਾ ਹੈ।

ਪਹਿਲੀ ਬੇਨਤੀ: ਪ੍ਰੋਟੋਕੋਲ ਸੰਸਕਰਣ

IPsec ਇੱਕ ਪਰਿਵਾਰ ਦਾ ਨਾਂ ਦਿੰਦਾ ਹੈ, ਇੱਕੋ ਕਾਰਜ-ਪ੍ਰਵਾਹ ਨਹੀਂ। IKEv2 ਅਤੇ IKEv1 ਆਪਣੇ ਆਦਾਨ-ਪ੍ਰਦਾਨ, ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਕਲਪਾਂ ਅਤੇ ਨੈੱਟਵਰਕ ਬਦਲਣ ਵੇਲੇ ਵਿਵਹਾਰ ਵਿੱਚ ਵੱਖਰੇ ਹਨ। ਸਿਰਫ਼ IKEv1 ਖ਼ਤਮ ਕਰਨ ਵਾਲਾ ਗੇਟਵੇ IKEv2 ਪੇਸ਼ ਕਰਨ ਵਾਲੇ ਗੇਟਵੇ ਨਾਲੋਂ ਬਿਲਕੁਲ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰੇਗਾ। ਕਲਾਇੰਟ ਸੰਰਚਨਾ ਵੀ ਉਸੇ ਨਾਲ ਬਦਲਦੀ ਹੈ।

ਪੁੱਛੋ ਕਿ ਸੇਵਾ ਕਿਹੜਾ ਸੰਸਕਰਣ ਖ਼ਤਮ ਕਰਦੀ ਹੈ ਅਤੇ ਕੀ ਇਹ ਮਿਆਰ-ਆਧਾਰਿਤ ਲਾਗੂਕਰਨ ਚਲਾਉਂਦੀ ਹੈ ਜਾਂ ਆਪਣੇ ਕਲਾਇੰਟ ਵਾਲਾ ਵਿਕਰੇਤਾ ਰੂਪ। ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਦੇ ਮੀਨੂ ਅਕਸਰ ਉਸ ਜਵਾਬ ਨੂੰ ਇੱਕ ਲੇਬਲ ਪਿੱਛੇ ਲੁਕਾ ਦਿੰਦੇ ਹਨ। ਲੇਬਲ ਹੀ ਪ੍ਰੋਟੋਕੋਲ ਨਹੀਂ ਹੈ।

ਦੂਜੀ ਬੇਨਤੀ: ਕਲਾਇੰਟ ਦਾ ਪ੍ਰਮਾਣਿਕਤਾ ਢੰਗ

ਪ੍ਰਮਾਣਿਕਤਾ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਅਸਲ ਕੰਮ ਦਾ ਵੱਡਾ ਹਿੱਸਾ ਹੁੰਦਾ ਹੈ। ਸੇਵਾ ਕਿਸੇ ਖ਼ਾਸ ਵਿਸਤ੍ਰਿਤ ਕੁੰਜੀ ਵਰਤੋਂ ਵਾਲੇ ਮਸ਼ੀਨ ਪ੍ਰਮਾਣ ਪੱਤਰ, ਵਰਤੋਂਕਾਰ ਪ੍ਰਮਾਣ ਪੱਤਰ, IKEv2 ਉੱਤੇ EAP ਢੰਗ ਜਾਂ ਪਛਾਣ ਨਾਲ ਬੱਝੀ ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਦੀ ਆਸ ਕਰ ਸਕਦੀ ਹੈ। ਕਿਹੜੀ ਲਾਗੂ ਹੁੰਦੀ ਹੈ, ਇਹ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਨੂੰ ਕੀ ਚਾਹੀਦਾ ਹੈ।

WireGuard ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਨਹੀਂ ਹੈ। ਇਹ ਇੱਕ ਖ਼ਾਸ ਹੈਂਡਸ਼ੇਕ ਵਿੱਚ ਵਰਤੀ ਜਾਣ ਵਾਲੀ Curve25519 ਕੁੰਜੀ ਹੈ। ਕੋਈ ਰੂਪਾਂਤਰਣ ਇਸ ਨੂੰ ਪ੍ਰਮਾਣ ਪੱਤਰ ਜਾਂ EAP ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਬਣਾਉਂਦਾ। ਜੋ ਸਾਧਨ ਇਸ ਦੇ ਉਲਟ ਦਾਅਵਾ ਕਰਦਾ ਹੈ, ਉਹ ਫ਼ਾਈਲ ਦਾ ਨਾਂ ਬਦਲ ਰਿਹਾ ਹੈ ਜਾਂ ਅਸੰਬੰਧਿਤ ਕੁਝ ਪੈਦਾ ਕਰ ਰਿਹਾ ਹੈ।

RFC 7296 ਵਿੱਚ IKEv2 ਵਿਸ਼ੇਸ਼ਤਾ ਦੱਸਦੀ ਹੈ ਕਿ ਉਸ ਸੰਸਕਰਣ ਦੇ ਲਾਗੂਕਰਨ ਨੂੰ ਕੀ ਸਮਰਥਨ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਹ ਓਪਰੇਟਰ ਦੇ ਅਸਪਸ਼ਟ ਜਵਾਬ ਲਈ ਸੰਦਰਭ ਹੈ, ਕਲਾਇੰਟ ਸੰਰਚਨਾ ਦੀ ਗਾਈਡ ਨਹੀਂ।

ਤੀਜੀ ਬੇਨਤੀ: ਭਰੋਸੇਯੋਗ ਪਛਾਣ ਅਤੇ ਮੰਜ਼ਿਲਾਂ

ਗੇਟਵੇ ਦੀ ਪਛਾਣ ਉਸੇ ਤਰ੍ਹਾਂ ਮੰਗੋ ਜਿਵੇਂ ਕਲਾਇੰਟ ਨੂੰ ਇਹ ਦਿਖਣੀ ਚਾਹੀਦੀ ਹੈ, ਨਾਲ ਹੀ ਇਸ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਵਾਲਾ ਭਰੋਸਾ-ਐਂਕਰ। ਫਿਰ ਪੁੱਛੋ ਕਿ ਸੇਵਾ ਕਿਹੜੀਆਂ ਨਿੱਜੀ ਰੇਂਜਾਂ ਅਤੇ ਰਿਜ਼ੌਲਵਰ ਭੇਜਦੀ ਹੈ। ਉਹ ਦੋਵੇਂ ਜਵਾਬ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਟਨਲ ਅਸਲ ਵਿੱਚ ਕੀ ਢੋਂਦੀ ਹੈ।

ਇਹਨਾਂ ਤੋਂ ਬਿਨਾਂ ਕੰਮ ਕਰਦਾ ਕਨੈਕਸ਼ਨ ਵੀ ਕੰਮ ਵਿੱਚ ਫੇਲ੍ਹ ਹੋ ਸਕਦਾ ਹੈ। ਭੇਜੇ ਗਏ ਰਿਜ਼ੌਲਵਰ ਤੋਂ ਬਿਨਾਂ ਉੱਠੀ ਟਨਲ ਅੰਦਰੂਨੀ ਨਾਵਾਂ ਨੂੰ ਜਵਾਬ ਤੋਂ ਬਿਨਾਂ ਛੱਡ ਦਿੰਦੀ ਹੈ। ਗੁੰਮ ਟ੍ਰੈਫਿਕ ਚੋਣਕਰਤਾ ਮੰਜ਼ਿਲ ਨੂੰ ਟਨਲ ਤੋਂ ਬਾਹਰ ਛੱਡ ਦਿੰਦਾ ਹੈ, ਭਾਵੇਂ ਹੈਂਡਸ਼ੇਕ ਸਫਲ ਹੋਇਆ ਹੋਵੇ।

ਐਂਡਪੌਇੰਟ ਦੀ ਜਾਂਚ ਕਲਾਇੰਟ ਗਲਤੀ ਨਾਲੋਂ ਵੱਖਰੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ। ਸੰਬੰਧ ਤੋਂ ਬਿਨਾਂ ਪਹੁੰਚਯੋਗ ਪੋਰਟ ਪ੍ਰਮਾਣਿਕਤਾ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਨਾ ਪਹੁੰਚਯੋਗ ਪੋਰਟ ਰਾਹ ਵੱਲ।

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

ਕਲਾਇੰਟ ਵਿੱਚ ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਜਾਂਚ ਚਲਾਓ। ਜੇ ਪੋਰਟ ਜਵਾਬ ਦਿੰਦੇ ਹਨ ਅਤੇ ਸੰਬੰਧ ਅਜੇ ਵੀ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਸਮੱਸਿਆ ਪ੍ਰਮਾਣਿਕਤਾ ਜਾਂ ਨੀਤੀ ਵਿੱਚ ਹੈ। ਜੇ ਉਹ ਬਿਲਕੁਲ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦੇ, ਤਾਂ ਕੋਈ ਪ੍ਰੋਫ਼ਾਈਲ ਸੋਧ ਮਦਦ ਨਹੀਂ ਕਰੇਗੀ।

ਜਦੋਂ ਦੋਵੇਂ ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਇਕੱਠੇ ਰਹਿਣਾ ਪਵੇ

ਦੋਵੇਂ ਨੈੱਟਵਰਕਾਂ ਦਾ ਪ੍ਰਬੰਧ ਦੋਵੇਂ ਪ੍ਰੋਟੋਕੋਲ ਰੱਖਣ ਦਾ ਜਾਇਜ਼ ਕਾਰਨ ਹੈ। ਆਮ ਡਿਜ਼ਾਈਨ WireGuard ਅਤੇ IPsec ਨੂੰ ਵੱਖਰੇ ਇੰਟਰਫੇਸ ਜਾਂ ਵੱਖਰੇ ਗੇਟਵੇ 'ਤੇ ਖ਼ਤਮ ਕਰਦਾ ਹੈ। ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਟ੍ਰੈਫਿਕ ਫਿਰ ਉਹਨਾਂ ਵਿਚਕਾਰ ਰੂਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਉਹ ਡਿਜ਼ਾਈਨ ਭਰੋਸੇ ਅਤੇ ਅਧਿਕਾਰ ਦੀ ਸੀਮਾ ਲਿਆਉਂਦਾ ਹੈ, ਅਤੇ ਇਸ ਨੂੰ ਉਸੇ ਤਰ੍ਹਾਂ ਲਿਖਣਾ ਚਾਹੀਦਾ ਹੈ। ਕਿਹੜੇ ਪੀਅਰ ਪਾਰ ਜਾ ਸਕਦੇ ਹਨ, ਕਿਸ ਦਿਸ਼ਾ ਵਿੱਚ ਅਤੇ ਕਿਸ ਦੀ ਨੀਤੀ ਅਧੀਨ—ਇਹ ਰੂਟਿੰਗ ਅਤੇ ਫਾਇਰਵਾਲ ਦਾ ਫ਼ੈਸਲਾ ਹੈ। ਕੋਈ ਵੀ ਪ੍ਰੋਟੋਕੋਲ ਇਹ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕਰਦਾ।

ਇਹ ਜੋ ਨਹੀਂ ਹੈ ਉਹ ਪਾਰਦਰਸ਼ੀ ਰੂਪਾਂਤਰਣ ਹੈ। WireGuard ਰਾਹੀਂ ਆਉਣ ਵਾਲਾ ਟ੍ਰੈਫਿਕ IPsec ਟਨਲ ਵਿੱਚ ਦੁਬਾਰਾ ਪੈਦਾ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਵਿਚਕਾਰਲੀ ਹਰ ਨੀਤੀ ਇਸ 'ਤੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ।

ਪਹਿਲਾਂ ਸਰਵਰ ਦੀਆਂ ਪ੍ਰੋਟੋਕੋਲ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਲੋੜਾਂ ਸਪਸ਼ਟ ਕਰੋ। ਫਿਰ ਉਹ ਕਲਾਇੰਟ ਅਤੇ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਰਾਹ ਵਰਤੋ ਜਿਸ ਨੂੰ ਓਪਰੇਟਰ ਸਮਰਥਨ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਉਦੋਂ ਤੱਕ ਨਿੱਜੀ ਕੁੰਜੀਆਂ ਨੂੰ ਵੈੱਬ ਕਨਵਰਟਰਾਂ ਤੋਂ ਦੂਰ ਰੱਖੋ।