IPsec යෝජනාවකට ඇතුළත් වන්නේ කුමක්ද? IKE සහ ESP ක්ෂේත්‍ර
යෝජනාවක් යනු එක් සම්පූර්ණ දීමනාවක් මිස ඇල්ගොරිතම් බෑගයක් නොවේ. කුමන ක්ෂේත්‍ර IKE ට සහ කුමන ඒවා ESP ට අයත්ද, සහ එක් නොගැලපීමක් මුළු කට්ටලයම ප්‍රතික්ෂේප කරන්නේ ඇයිද යන්න බලන්න.
IKE ආරම්භ වේ, දෙපැත්තම AES ප්‍රකාශ කරයි, නමුත් ටනලය තවමත් NO_PROPOSAL_CHOSEN සමඟ අසාර්ථක වේ. ලොගය යෝජනාවේ නම කියයි, නමුත් නොගැලපුණු ක්ෂේත්‍රය නොකියයි. යෝජනාවක් යනු එක් සම්පූර්ණ දීමනාවක් වන අතර, එක් නොගැලපෙන ක්ෂේත්‍රයක් එම පේළිය පමණක් නොව මුළු සංයෝජනයම අවලංගු කරයි. එය ස්වාධීන ඇල්ගොරිතම තේරීම්වල බෑගයක් ලෙස කියවීම නොගැලපීම නොපෙනී රැඳීමට හේතු වන සාමාන්‍ය හේතුවයි.
වෙන වෙනම යෝජනා ලැයිස්තු සහිත සාකච්ඡා දෙකක්
IKEv2 ආරක්ෂක සංගම් දෙකක් ගොඩනඟයි. පළමුවැන්න පාලන හුවමාරුවම ආරක්ෂා කරන IKE SA වන අතර, දෙවැන්න ESP හරහා ඔබේ ගමන් ප්‍රවාහය ගෙන යන CHILD SA ය. එකින් එකට තමන්ගේම යෝජනා ලැයිස්තුවක් ඇති අතර, සහකරුවෙකුට එකක් පිළිගෙන අනෙක ප්‍රතික්ෂේප කළ හැක.
මෙම වෙන්වීම සාමාන්‍ය ව්‍යාකූලත්වයක් පැහැදිලි කරයි: ක්‍රියාකාරී IKE SA යනු පාලන නාලිකාවේ ඇල්ගොරිතම ගැලපුණු බවට සාක්ෂියක් පමණි. CHILD යෝජනාව අසාර්ථක වුවහොත්, පළමු අදියර අවසන් වී ලොග ඉහළින් නිරෝගී ලෙස පෙනුනත්, ටනලය එක පැකට්ටුවක්වත් ගෙන යන්නේ නැත.
එක් එක් ලැයිස්තුව තුළ ඇති අනුපිළිවෙලද වැදගත් වේ. ප්‍රතිචාර දෙන්නා ආරම්භකයාගේ අනුපිළිවෙලට සකසන ලද දීමනාවලින් තෝරා ගනී, එබැවින් පුළුල් ලෙස ගැලපෙන සටහනක් පටු එකකට ඉහළින් ගෙන යාමෙන්, කිසිදු ඇල්ගොරිතම නමක් නොවෙනස්ව, ස්ථාපනය වන කට්ටලය වෙනස් වේ. පෙරනිමි අගයන් මත රැඳී නොසිට එම අනුපිළිවෙල වින්‍යාසයේ සවි කරන්න. ස්ථාවර අනුපිළිවෙලක් අඩවීන් අතර ලොග සංසන්දනයද අර්ථවත් කරයි.
කුමන ක්ෂේත්‍ර කුමන යෝජනාවට අයත්ද
ක්ෂේත්‍ර කට්ටලය කුඩාය, නමුත් සාකච්ඡා දෙකේම එය සමාන නොවේ. එක් තීරුවක ක්ෂේත්‍රයක් අනෙකෙහි නොතිබිය හැකි බැවින් වගුව පේළියෙන් පේළිය කියවන්න. වාක්‍ය ව්‍යුහය ක්‍රියාත්මක කිරීම අනුව වෙනස් වේ; strongSwan හි යෝජනා ලේඛන එක් නිශ්චිත යොමුවකි.
| Field | IKE SA proposal | CHILD SA proposal |
|---|---|---|
| Encryption | Required | Required |
| Integrity | Required unless AEAD | Required unless AEAD |
| PRF | Required | Not present |
| DH group | Required | Only for PFS |
| ESN | Not present | Optional |
සංකේතන ක්ෂේත්‍රය සයිෆරය සහ බොහෝ වාක්‍ය ව්‍යුහවල එහි යතුරු දිග නම් කරයි. අඛණ්ඩතා ක්ෂේත්‍රය සංකේතිත පෙළ සත්‍යාපනය කිරීමට භාවිතා කරන හැෂ් නම් කරයි, සහ PRF IKE SA සඳහා යතුරු ද්‍රව්‍ය ව්‍යුත්පන්න කරන ශ්‍රිතය නම් කරයි. DH කණ්ඩායම නව පොදු රහස්‍ය ද්‍රව්‍ය ස්ථාපිත කරයි, එබැවින් එය දෙපැත්තේම දිස්වේ, නමුත් විවිධ අරමුණු සඳහා.
දිගු කළ අනුක්‍රම අංක අයත් වන්නේ දත්ත මාර්ගයට පමණි. ඒවා අනුක්‍රම අවකාශය පුළුල් කරන අතර CHILD යෝජනාවේ කොටසක් ලෙස සාකච්ඡා වේ, එබැවින් එහි ඇති නොගැලපීමක් CHILD දීමනාව ප්‍රතික්ෂේප කරයි, IKE SA ස්පර්ශ නොවී පවතී.
එක් සම්පූර්ණ දීමනාවක් තෝරා ගන්නේ කෙසේද
සෑම යෝජනාවක්ම කට්ටලයක් වන අතර, ප්‍රතිචාර දෙන්නා සෑම අනිවාර්ය ක්ෂේත්‍රයක්ම පිළිගත හැකි කට්ටලයක් සොයයි. ලැයිස්තු දෙකේම AES සහ SHA-256 තිබිය හැකි නමුත්, යතුරු දිග, PRF හෝ DH කණ්ඩායම වෙනස් බැවින්, ගැලපෙන සටහනක් නොතිබිය හැක. සංසන්දනය සිදු වන්නේ සෑම ඇල්ගොරිතමයකට නොව සෑම යෝජනාවකට ය.
කිසිවක් නොගැලපුනහොත් ප්‍රතිචාර දෙන්නා අසාර්ථක වූ SA වර්ගය සමඟ NO_PROPOSAL_CHOSEN යවයි. වින්‍යාසය සංස්කරණය කිරීමට පෙර දැනුම්දීම අදාළ වන්නේ කුමන යෝජනා ලැයිස්තුවටදැයි කියවන්න; IKE යෝජනාව ප්‍රතික්ෂේප වූ විට ESP ඇල්ගොරිතම වෙනස් කිරීම නිර්දෝෂීකරණ චක්‍රයක් නාස්ති කරයි.
පැතිකඩක් සීරුමාරු කරන විට තේරීමේ හැසිරීම දැනගැනීම වටී. සමහර ක්‍රියාත්මක කිරීම් ආරම්භකයාගේ අනුපිළිවෙලට කැමති වන අතර, තවත් ඒවා දේශීය ප්‍රතිපත්තිය අනුව නැවත අනුපිළිවෙලට සකසයි, එබැවින් බිල්පත් නිෂ්පාදකයන් දෙදෙනෙකු අතර ක්‍රියා කරන කට්ටලයක් අතුරුදහන් විය හැක සම්බන්ධතාවය ආරම්භ කරන පැත්ත ඔබ පෙරළන විට.
AEAD ක්ෂේත්‍රයක් එකතු කරන්නේ නැතිව ඉවත් කරයි
AES-GCM සහ ChaCha20-Poly1305 එක් ක්‍රියාවකින් සත්‍යාපනය සහ සංකේතනය කරයි. ඒවායින් එකක් ESP සඳහා තෝරා ගත් විට, AEAD ඉදිකිරීම දැනටමත් එය ආවරණය කරන බැවින්, අඛණ්ඩතා ඇල්ගොරිතම වෙන වෙනම සාකච්ඡා නොවේ. එබැවින් AES-GCM SHA-256 සමඟ යුගල කරන යෝජනාව හොඳම අවස්ථාවේ අනවශ්‍ය වන අතර නරකම අවස්ථාවේ ප්‍රතික්ෂේප වේ.
PRF IKE පැත්තේ තවමත් වෙන් වේ, මන්ද එය භාර ප්‍රමාණය ආරක්ෂා කරනවාට වඩා පාලන නාලිකාවට යතුරු ව්‍යුත්පන්න කරයි. එබැවින් IKE යෝජනාවකට AEAD සයිෆරය PRF සහ DH කණ්ඩායම සමඟ නීත්‍යානුකූලව ඒකාබද්ධ කළ හැකි අතර, අනුරූප ESP යෝජනාව ලැයිස්තුගත කරන්නේ AEAD සයිෆරය සහ අමතර PFS කණ්ඩායම පමණි.
යතුරු දිග සංකේතන ටෝකනයේ කොටසක් බැවින් AES-128-GCM සහ AES-256-GCM වෙනස් දීමනා වේ. 256-bit යතුරු උපකල්පනය කළ මාර්ගෝපදේශයකින් පිටපත් කළ පැතිකඩක් 128-bit සඳහා වින්‍යාස කළ අන්ත ලක්ෂ්‍යයක් සමඟ නොගැලපේ, පේළි දෙකම AES-GCM කීවත්. සහකරුවන් දෙදෙනෙකුට සයිෆර පවුල ගැන එකඟ වී, ඉරි ඉරෙන් පසු අංකය නිසා එකිනෙකා ප්‍රතික්ෂේප කළ හැක.
වින්‍යාසය නොව ස්ථාපිත SA කියවන්න
වින්‍යාස කළ යෝජනා ලැයිස්තුව දීමනාවකි; ස්ථාපිත SA ප්‍රතිඵලයයි. strongSwan සහ Linux කර්නලයේ දර්ශන දෙකම ලබා ගත හැක:
sudo swanctl --list-sas
sudo ip xfrm state
sudo ip xfrm policyswanctl --list-sas සෑම SA එකකටම සාකච්ඡා කළ ඇල්ගොරිතම මුද්‍රණය කරයි, CHILD AEAD භාවිතා කරන්නේද යන්නද ඇතුළත්ව. ip xfrm state කර්නලය ඇත්තටම ස්ථාපනය කළ දේ පෙන්වයි, සහ යතුරු අලුත් කිරීම ඔබ ලේඛනගත කළ කට්ටලයට වඩා වෙනස් එකකට ආපසු නොගිය බව තහවුරු කරන තැන එහි ය.
නිවැරදි කිරීමකින් පසු එම ප්‍රතිදානය වින්‍යාසය අසල සුරකින්න. සේවාදායක යාවත්කාලීනයක් එහි පෙරනිමි අගයන් වෙනස් කරන විට, වාර්තා කළ කට්ටලය ඔබට සංසන්දනය සඳහා මූලික රේඛාවක් ලබා දෙයි, සහ සංසන්දනය විමර්ශනය මුල සිට ආරම්භ කරනවාට වඩා ගෙන ගිය ක්ෂේත්‍රය පෙන්වා දෙයි.