آیا باید دوه VPN طبقې یو پر بل والوزو؟ د کتنې لپاره درې شرطونه

مخکې لدې چې VPN ته دویمه کوډونه طبقه اضافه کړئ، په رېښتیا یوې پوښتنې ته ځواب ووایاست: وروسته لدې چې دواړه طبقې خپله کار وکړ، څارونکي ته څه پاتې کیږي؟ که ځواب دننی کوډ شوی متن وي، بې بدلونه، نو ننوتل وخت واخیست او نور هېڅ نه۔ هغه څه چې راځي وړاندیز نه دی، د پرېکړې بهیر دی۔ همدا ډیاګرام په یوه ځایپرځای کې ضایع پروسسور دی او په بل کې سم ځواب، او یوازې درې شرطونه دا دوه جلا کوي۔

ولیکئ چې څارونکی څه ساتي

هغه شي ثبت کړئ چې سیال یې نن ساتلی شي، او بیا د لرې کولو هغه ترتیب چې بالاخره روښانه متن ښکاره کوي۔ بهرنی تونل کوډ شوی متن جوړوي؛ کله چې يې ساتنه پای ته ورسیږي، پاتې کېدونکی د دنني تونل کوډ شوی متن دی، لا هم مهر شوی۔ د پوښ لرې کول ډیکوډ کول نه دي۔ هغه جمله ننوتل بیانوي، او یوازې هغه مه سمه ده چې دننې کیلي ژوندۍ وي۔ په هغه شېبه چې دوه طبقې څه شریک کړي، وخت کرښه په یوه پېښه کې نسکوره کیږي۔

نو ګټور اثر وخت کرښه ده، د صندوقونو ډیاګرام نه۔ د هرې طبقې لپاره پای ټکی، د کیلي مالک، د هویت کتنه او هغه کال ولیکئ چې تمه ده فرض پکې ناکام شي۔

د خپل ادعا ازمویلو عملي لاره: فرض کړئ څارونکی هر څه ثبتوي او هېڅکله نه تسلیمیږي۔ د دې فرض لاندې، آیا ډیزاین لا هم د اړتیا وړ ژوند په اوږدو کې بار ساتي؟ که ځواب په دې پورې تړلی وي چې څارونکی دې ټرافیک نه ساتي، نو ډیزاین ځواب نه لري۔

لومړی شرط: آیا طبقې په بېلابېلو ځایونو کې درېږي؟

ننوتل ګټور دي کله چې دواړه طبقې په بېلابېلو باور سیمو کې پای ته ورسیږي، لکه د عرضه کوونکي لخوا اداره شوی IPsec دروازه د اپلیکیشن کچې تونل مخې ته چې ستاسو په خپل شبکه کې پای ته ورسیږي۔ بیا د بهرنې طبقې ماتول یوازې ستاسو کوربه خلاصولی شي کوډ شوی متن ورکوي، او عرضه کوونکی په هېڅ شېبه روښانه متن نه ویني۔ دواړه طبقې په یوه دروازه کې کېږدئ او هغه ځانګړنه ورکېږي۔ څوک چې صندوق ماتوي، هغه د دوه ډیکوډ کولو عملیاتو ترمنځ ټرافیک لولي، هر څومره پوښونه ډیاګرام وښيي۔

دا د ډیزاین پرځای د نصب شوي حالت سره وګورئ۔ په Linux کې، ip xfrm state هره امنیتي اړیکه او د هغې پای ټکي لیستوي، چې دا معلوموي چې هره طبقه واقعاً چېرته درېږي۔

دویم شرط: آیا د کیلي توکي واقعاً خپلواک دي؟

هغه دوه طبقې چې د یو سند، یو مخکې شریک شوي کیلي یا د یو پلورونکي کتابتون څخه جوړې شوې وي، یوه طبقه ده چې اضافي ګامونه لري۔ بیا یو افشا شوی اعتبار دواړه پرانیزي، او یو پلي کولو تېروتنه دواړه په یو وخت لرې کوي۔ خپلواکي باید په ترتیب کې ښکاره وي، نه په سلایډ کې ادعا شوې۔

دلته هایبرډ کیلي جوړونې د تونلونو د غونډولو څخه مخکې دی۔ IKEv2 کولی شي په یوه خبرو اترو کې څو کیلي تبادلې ولېږي، نو یو کلاسیک ګروپ او یو له کوانټم وروسته KEM دواړه کولی شي یو شان غونډې کیلي تغذیه کړي، د یو بل شاوخوا تاوېدو پرځای۔ پایله یوه امنیتي اړیکه ده چې کیلي یې دواړو پټو پورې تړلې ده، او بریدګر باید دواړه مات کړي۔ دا یو مستند جوړښت دی چې ټاکل شوې ترکیب لري، کوم چې د دوو VPN محصولاتو کورنی غونډ نه دی۔ په strongSwan کې، swanctl --list-sas د هر SA لپاره خبرې شوې وړاندیز چاپوي، او په دې توګه تاسو تاییدوئ چې واقعاً څه چلېدل، نه هغه څه چې تاسو تنظیم کړي۔

درېیم شرط: آیا معلومات له بهرنې فرض څخه اوږد ژوند کوي؟

هغه طبقه چې باید شل کاله ټینګه پاتې شي، شل کلن دلیل ته اړتیا لري۔ اوس ثبتول او وروسته ډیکوډ کول ارزانه دي، او له همدې امله کلاسیکه بهرنه طبقه نشي کولی د یو څه پیاوړي شاوخوا موقتي پوښ وګڼل شي۔

وپوښتئ چې هره کیلي کله بېرته راوستل کیدونکې کیږي، نه دا چې نن کوډ مات شوی که نه۔ پرته له مخکې تلونکې پټتیا سټاتیک کیلي تبادله په هغه ورځ شاته ولاړه ناکامه کیږي چې شخصي کیلي لویږي۔ لنډمهاله کیلي هوکړه یوازې هغو غونډو لپاره ناکامه کیږي چې بریدګر یې ژوندي په حال کې برید کولی شي، یا کله چې الګوریتم پخپله کمزوری شي۔ هغه توپیر معلوموي چې دننې طبقه په 2040 کې لا هم مرسته کوي که نه۔ دا هم معلوموي چې بهرنه طبقه اصلاً څه بدلوي که نه، ځکه کمزوری کیلي-عمر لرونکې بهرنه طبقه یوازې د وخت کرښې ترټولو دمخه ټکی کیږي۔

کله چې ځواب نه وي، پرځای يې څه جوړ کړو

که د درېیو شرطونو څخه کوم یو ناکام شي، ننوتل پرېږدئ او هڅه په هغه طبقه ولګوئ چې واقعاً د عمر غوښتنه پورته کوي۔ هغه پروتوکول کې چې مخکې یې چلوئ هایبرډ کیلي تبادله تنظیم کړئ، پلي کول نوی وساتئ، او هغه ترکیب ولیکئ چې پرې تکیه کوئ۔ په ډیزاین سند کې د ML-KEM نوم اخیستل امنیتي ځانګړنه نه ده، او FIPS 203 د کیلي بسته بندۍ میکانیزم تعریفوي، ستاسو تونل نه۔

هلته چې دویمه طبقه واقعاً خپل ځای ګټي، د اثبات په توګه نه، بلکې د ژورتیا په دفاع په توګه یې بیان کړئ۔ بیا ترکیب تایید کړئ: کوم پای ټکی کومه کیلي لري، هره خوا کوم هویت ګوري، او کنسول ته لاسرسی لرونکی چلوونکی څه لولی شي۔ هغه ډیزاین چې دې درې پوښتنو ته ځواب ووایي، د اضافي پروسسور وړ دی۔ هغه چې نه شي، یوازې ډیاګرام دی۔

د بدلون کړکۍ مخکې اوسنی SA جدول او خبرې شوي وړاندیزونه ثبت کړئ، او وروسته يې بیا ثبت کړئ او پرتله یې کړئ، ځکه یوازینی مهم شاهد هغه دی چې وسیلو واقعاً پرې موافقه وکړه۔