د IPsec وړاندیز کې څه شامل دي؟ د IKE او ESP ساحې
وړاندیز یو بشپړ وړاندیز دی، د الګوریتمونو یوه کڅوړه نه. وګورئ کومې ساحې IKE ته او کومې ESP ته اړه لري، او ولې یوه ناسمه اړیکه ټوله ټولګه ردوي.
IKE پیلېږي، دواړه خواوې AES اعلانوي، او تونل بیا هم د NO_PROPOSAL_CHOSEN سره ناکامېږي۔ لاګ د وړاندیز نوم وایي خو هغه ساحه نه وایي چې سمون نه ورسره۔ وړاندیز یو بشپړ وړاندیز دی، او یوه ناسمه ساحه ټوله ترکیب باطلوي، نه یوازې هغه کرښه۔ دې ته د خپلواکو الګوریتمونو د انتخاب کڅوړه ګڼل هغه عادي لامل دی چې ناسمه اړیکه پټه پاتې کېږي۔
دوه خبرې اترې د جلا وړاندیز لیستونو سره
IKEv2 دوه امنیتي ټولنې جوړوي۔ لومړی IKE SA دی، چې د کنټرول تبادله پخپله ساتي، او دویم CHILD SA دی، چې ستاسو ټرافیک د ESP له لارې وړي۔ هر یو خپل وړاندیز لیست لري، او یوه خوا کولی شي یو ومني او بل رد کړي۔
دا ویش یوه عامه ګډوډي توضیح کوي: فعال IKE SA یوازې دا ثابتوي چې د کنټرول چینل الګوریتمونه سره سمون خوړلی۔ که CHILD وړاندیز ناکام شي، تونل یو هم پاکټ نه وړي، که څه هم لومړی پړاو بشپړ شوی او لاګونه په سر کې روغ ښکاري۔
د هر لیست دننه ترتیب هم مهم دی۔ ځواب ورکوونکی د پیل کوونکي له ترتیب شوي وړاندیزونو څخه ټاکي، نو د پراخه توګه سمون خوړونکي یادښت د تنګ یادښت پورته کول بدلوي چې کومه ټولګه نصب شي، پر د یوه الګوریتم نوم نه بدلېږي۔ دا ترتیب په کنفیګریشن کې پین کړئ، د ډیفالټ ارزښتونو پر ځای۔ ثابت ترتیب د سایټونو ترمنځ د لاګ پرتله هم بامعنا کوي۔
کومې ساحې کوم وړاندیز ته اړه لري
د ساحو ټولګه کوچنۍ ده، خو په دوو خبرو اترو کې یو شان نه ده۔ جدول کرښه په کرښه ولولئ، ځکه د یوې کالم ساحه ممکن په بل کې نه وي۔ ترتیب د تطبیق له مخې توپیر لري؛ د strongSwan د وړاندیزونو مستندات یوه مشخصه مرجع ده۔
| Field | IKE SA proposal | CHILD SA proposal |
|---|---|---|
| Encryption | Required | Required |
| Integrity | Required unless AEAD | Required unless AEAD |
| PRF | Required | Not present |
| DH group | Required | Only for PFS |
| ESN | Not present | Optional |
د کوډ کولو ساحه د سایفر او په ډېرو ترتیبو کې د هغې د کیلي اوږدوالی نوم اخلي۔ د بشپړتیا ساحه هغه هش نوم اخلي چې د کوډ شوي متن د تصدیق لپاره کارېږي، او PRF هغه فنکشن نوم اخلي چې د IKE SA لپاره د کیلي مواد جوړوي۔ DH ګروپ نوې ګډه پټه ماده تاسیس کوي، ځکه دواړو خواو کې ښکاري، خو د بېلو موخو لپاره۔
پراخه شوي ترتیبي شمېرې یوازې د معلوماتو لارې ته اړه لري۔ دوی د ترتیب فضا پراخوي او د CHILD وړاندیز د برخې په توګه خبرې اترې پرې کېږي، نو هلته ناسمه اړیکه CHILD وړاندیز ردوي او IKE SA نه لمس کېږي۔
یو بشپړ وړاندیز څنګه ټاکل کېږي
هر وړاندیز یوه ټولګه ده، او ځواب ورکوونکی هغه ټولګه لټوي چې هر اړین ساحه پکې منل کېدونکې وي۔ دواړه لیستونه کولی شي AES او SHA-256 ولري او بیا هم هېڅ سمون خوړونکې یادښت نه ولري، ځکه د کیلي اوږدوالی، PRF یا DH ګروپ توپیر لري۔ پرتله د هر الګوریتم له مخې نه، د هر وړاندیز له مخې کېږي۔
کله چې هېڅ سمون ونه خوري، ځواب ورکوونکی د ناکام SA ډول سره NO_PROPOSAL_CHOSEN لېږي۔ مخکې له دې چې کنفیګریشن سم کړئ ولولئ چې خبرتیا کوم وړاندیز لیست ته اشاره کوي؛ د ESP الګوریتمونو بدلول کله چې IKE وړاندیز رد شوی وي، د ډیبګ یوه دوره ضایع کوي۔
د پروفایل تنظیمولو پر مهال د انتخاب چلند پېژندل ګټور دي۔ ځینې تطبیقونه د پیل کوونکي ترتیب غوره ګڼي، نور د سیمه ییز پالیسي له مخې بیا ترتیبوي، نو هغه ټولګه چې د دوو پلورونکو ترمنځ کار کوي ورکېدای شي کله چې تاسو هغه خوا بدله کړئ چې اړیکه پیلوي۔
AEAD یوه ساحه لرې کوي نه دا چې یوه اضافه کړي
AES-GCM او ChaCha20-Poly1305 په یوه عملیه کې تصدیق او کوډ کول کوي۔ کله چې له دوی څخه یو د ESP لپاره ټاکل شي، د بشپړتیا الګوریتم په جلا توګه خبرې اترې نه پرې کېږي، ځکه AEAD جوړښت لا دمخه ترې پوښی دی۔ نو هغه وړاندیز چې AES-GCM له SHA-256 سره جوړه کوي په غوره حالت کې اضافي او په بدترین حالت کې رد شوی دی۔
PRF د IKE خوا کې لا هم جلا دی، ځکه چې د پیلوډونو د ساتنې پر ځای د کنټرول چینل لپاره کیلي جوړوي۔ ځکه IKE وړاندیز کولی شي په قانوني ډول AEAD سایفر له PRF او DH ګروپ سره یوځای کړي، په داسې حال کې چې اړوند ESP وړاندیز یوازې AEAD سایفر او اختیاري PFS ګروپ لیستوي۔
د کیلي اوږدوالی د کوډ کولو ټوکن برخه ده، نو AES-128-GCM او AES-256-GCM بېل وړاندیزونه دي۔ هغه پروفایل چې د 256-bit کیلي فرض کوونکې لارښود څخه کاپي شوی، د 128-bit لپاره تنظیم شوي پای ټکي سره سمون نه خوري، که څه هم دواړه کرښې AES-GCM وایي۔ دوه خواوې کولی شي د سایفر کورنۍ په اړه موافقې ته ورسېږي او بیا هم د کرښې وروسته شمېرې له امله یو بل رد کړي۔
کنفیګریشن نه، نصب شوی SA ولولئ
تنظیم شوی وړاندیز لیست یو وړاندیز دی؛ نصب شوی SA پایله ده۔ په strongSwan او Linux کرنل کې دواړه لیدونه شته:
sudo swanctl --list-sas
sudo ip xfrm state
sudo ip xfrm policyswanctl --list-sas د هر SA لپاره خبرې اترې شوي الګوریتمونه چاپوي، په دې کې چې CHILD AEAD کاروي که نه۔ ip xfrm state ښیي چې کرنل واقعاً څه نصب کړل ، او همالته تایید کېږي چې د کیلي نوي کول ستاسو له مستند شوي څخه جلا ټولګې ته نه دي بېرته ګرځېدلي۔
د سمون وروسته هغه تولید د کنفیګریشن ترڅنګ وساتئ۔ کله چې د کلاینټ تازه کول خپل ډیفالټونه بدلوي، ثبت شوې ټولګه تاسو ته د پرتلې لپاره بنسټ کرښه درکوي، او پرتله د دې پر ځای چې پلټنه له سره پیل کړي، هغې ساحې ته اشاره کوي چې خوځېدلې ده۔