د IPsec ګیټوې لپاره WireGuard پروفایل: پر ځای یې څه وغواړو

له خاموش ګیټوې سره د لاس وهلو وخت ختمېدل معمولاً دوه پروتوکولونه معنی لري چې هیڅکله نه سره ګوري۔ د WireGuard همزولی Noise وایي، پداسې حال کې چې د IPsec ګیټوې IKE ته انتظار کوي۔ سم پته او پورټ دا نه بدلوي۔

په پروفایل کې د پای نقطې بیا کارول دواړه نه نښلوي۔ بله ګام هغه چاته غوښتنه ده چې ګیټوې اداره کوي۔

لومړۍ غوښتنه: د پروتوکول نسخه

IPsec یوه کورنۍ نوموي، نه یو واحد کاري جریان۔ IKEv2 او IKEv1 په خپلو تبادلو، د تصدیق اختیارونو او د شبکې د بدلون پر مهال په چلند کې توپیر لري۔ هغه ګیټوې چې یوازې IKEv1 پای ته رسوي به له هغه ګیټوې څخه چې IKEv2 وړاندې کوي بشپړ توپیر ولري۔ د کلاینټ تنظیمات هم ورسره بدلېږي۔

وپوښتئ چې خدمت کومه نسخه پای ته رسوي او آیا معیاري تطبیق چلوي یا د پلورونکي هغه ډول چې خپل کلاینټ لري۔ د عملیاتي سیستم مینوګانې ډیری وختونه هغه ځواب د یوې نښې شاته پټوي۔ نښه پخپله پروتوکول نه دی۔

دوهمه غوښتنه: د کلاینټ د تصدیق طریقه

تصدیق هغه ځای دی چې د ریښتیني کار ډیره برخه پکې ده۔ خدمت ممکن د یوې ځانګړې پراخه کلي کاري ماشین سند، د کارونکي سند، د IKEv2 په سر EAP طریقه یا له هویت سره تړلې وړاندې شریکه شوې کلي تمه ولري۔ کومه یې پلي کیږي هغه ټاکي چې کلاینټ ته څه ته اړتیا ده۔

د WireGuard شخصي کلي د دې له جملې څخه هیڅ نه ده۔ دا هغه Curve25519 کلي ده چې په یو ځانګړي لاس وهلو کې کارول کیږي۔ هیڅ بدلون دا سند یا د EAP اعتبار نه جوړوي۔ هغه وسیله چې خلاف یې ادعا کوي د فایل نوم بدلوي یا بې‌اړیکه څه تولیدوي۔

په RFC 7296 کې د IKEv2 مشخصات بیانوي چې د هغې نسخې تطبیق باید د څه ملاتړ وکړي۔ دا د آپریټر د مبهم ځواب لپاره مرجع ده، نه د کلاینټ د تنظیماتو لارښود۔

دریمه غوښتنه: باوري هویت او منزلونه

د ګیټوې هویت هغسې وغواړئ لکه کلاینټ چې باید یې وویني، له هغه باور لنگر سره چې دا تصدیقوي۔ بیا وپوښتئ چې خدمت کوم شخصي حدونه او حل کوونکي لیږي۔ هغه دوه ځوابونه ټاکي چې تونل واقعاً څه وړي۔

پرته له دوی کار کوونکې اړیکه بیا هم کېدای شي دنده پوره نه کړي۔ هغه تونل چې پرته له لیږل شوي حل کوونکي پورته شي داخلي نومونه بې ځوابه پریږدي۔ نیمګړی د ترافیک غوراوی منزل د تونل څخه باندې پریږدي، که څه هم لاس وهل بریالي شوي۔

د پای نقطې پلټنه له کلاینټ تېروتنې څخه بېلې پوښتنې ته ځواب وایي۔ د اړیکې پرته رسیدونکی پورټ تصدیق ته اشاره کوي، پداسې حال کې چې نه رسیدونکی پورټ لارې ته۔

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

په کلاینټ کې د هر څه بدلولو دمخه دا پلټنه چلوه۔ که پورټونه ځواب ووایي او اړیکه بیا هم ناکامه وي، ستونزه په اعتبار یا پالیسي کې ده۔ که هغوی هېڅ ځواب نه وايي، هیڅ د پروفایل سمون به مرسته ونه کړي۔

کله چې دواړه پروتوکولونه باید یوځای وي

د دواړو شبکو اداره کول د دواړو پروتوکولونو ساتلو لپاره مشروع دلیل دی۔ معمول ډیزاین WireGuard او IPsec په جلا انټرفیسونو یا جلا ګیټوېونو کې پای ته رسوي۔ بیا تصویب شوی ترافیک د دوی ترمنځ مسیر کیږي۔

هغه ډیزاین د باور او اجازې پوله راوړي، او باید همداسې ولیکل شي۔ کوم همزولي کولای شي تیر شي، په کوم لوري او د چا تر پالیسۍ لاندې—دا د مسیر او د اور دېوال پریکړه ده۔ هیڅ یو پروتوکول دا نه برابروي۔

هغه څه چې نه دی، روښانه بدلون دی۔ هغه ترافیک چې د WireGuard له لارې رسیږي بیا په IPsec تونل کې جوړیږي، او د منځ هرې پالیسۍ پرې پلي کیږي۔

لومړی د سرور د پروتوکول او تصدیق غوښتنې روښانه کړئ۔ بیا هغه کلاینټ او د ثبت لاره وکاروئ چې آپریټر یې ملاتړ کوي، او په دې موده کې شخصي کلي له ویب بدلوونکو څخه لرې وساتئ۔