IPsec ද්වාරයක් සඳහා WireGuard පැතිකඩ: ඒ වෙනුවට ඉල්ලිය යුත්තේ කුමක්ද

නිහඬ ද්වාරයක් සමඟ හස්ත සංග්‍රහයේ කාලය ඉකුත් වීම සාමාන්‍යයෙන් කිසිදා නොහමුවන ප්‍රොටෝකෝල දෙකක් අදහස් කරයි. WireGuard සහකරු Noise කථා කරන අතර IPsec ද්වාරය IKE එක බලා සිටී. නිවැරදි ලිපිනය සහ තොටුපළ එය වෙනස් නොකරයි.

පැතිකඩක අන්ත ලක්ෂ්‍යය නැවත භාවිත කිරීම දෙකම සම්බන්‍ධ නොකරයි. ඊළඟ පියවර වන්නේ ද්වාරය කළමනාකරණය කරන අයෙකුට කරන ඉල්ලීමයි.

පළමු ඉල්ලීම: ප්‍රොටෝකෝල අනුවාදය

IPsec නම් කරන්නේ පවුලක් මිස එක් කාර්ය ප්‍රවාහයක් නොවේ. IKEv2 සහ IKEv1 ඒවායේ හුවමාරු, සත්‍යාපන විකල්ප සහ ජාල වෙනස් වන විට හැසිරීම අනුව වෙනස් වේ. IKEv1 පමණක් අවසන් කරන ද්වාරයක් IKEv2 ලබා දෙන ද්වාරයකට වඩා සම්පූර්ණයෙන්ම වෙනස් ලෙස හැසිරෙනු ඇත. සේවාලාභී වින්‍යාසයද ඒ සමඟ වෙනස් වේ.

සේවාව කුමන අනුවාදය අවසන් කරන්නේද සහ එය ප්‍රමිති පාදක ක්‍රියාත්මක කිරීමක් ද තමන්ගේම සේවාලාභියෙකු සහිත විකුණුම්කරු ප්‍රභේදයක් ද ධාවනය කරන්නේද යන්න අසන්න. මෙහෙයුම් පද්ධති මෙනු බොහෝ විට එම පිළිතුර එක් ලේබලයක් පිටුපස සඟවයි. ලේබලය ප්‍රොටෝකෝලය නොවේ.

දෙවන ඉල්ලීම: සේවාලාභියාගේ සත්‍යාපන ක්‍රමය

සත්‍යාපනය යනු සැබෑ කාර්යයෙන් වැඩි කොටසක් පිහිටන තැනය. නිශ්චිත දීර්ඝ කළ යතුරු භාවිතයක් සහිත යන්ත්‍ර සහතිකයක්, පරිශීලක සහතිකයක්, IKEv2 මත EAP ක්‍රමයක් හෝ අනන්‍යතාවකට බැඳුණු පෙර බෙදාගත් යතුරක් සේවාව බලාපොරොත්තු විය හැක. කුමක් අදාළ වේද යන්න තීරණය කරන්නේ සේවාලාභියාට අවශ්‍ය කුමක්ද යන්නයි.

WireGuard පෞද්ගලික යතුර ඒ කිසිවක් නොවේ. එය එක් නිශ්චිත හස්ත සංග්‍රහයක භාවිතා වන Curve25519 යතුරකි. කිසිදු පරිවර්තනයක් එය සහතිකයක් හෝ EAP අක්තපත්‍රයක් බවට නොපත් කරයි. එසේ නොවන බව පවසන මෙවලමක් ගොනුවේ නම වෙනස් කරමින් හෝ සම්බන්‍ධ නැති දෙයක් උත්පාදනය කරමින් සිටී.

RFC 7296 හි IKEv2 පිරිවිතර විස්තර කරන්නේ එම අනුවාදයේ ක්‍රියාත්මක කිරීමක් අනුග්‍රහය දැක්විය යුතු දේය. එය ක්‍රියාකරුගේ අපැහැදිලි පිළිතුරක් සඳහා වූ යොමුවක් මිස සේවාලාභී වින්‍යාස මාර්ගෝපදේශයක් නොවේ.

තෙවන ඉල්ලීම: විශ්වාසනීය අනන්‍යතාව සහ ගමනාන්ත

සේවාලාභියා දකින්නට ඕනෑ ආකාරයට ද්වාරයේ අනන්‍යතාව ඉල්ලන්න, එය වලංගු කරන විශ්වාස නැංගුරම සමඟ. පසුව සේවාව තල්ලු කරන පෞද්ගලික පරාස සහ විසඳුම්කරුවන් මොනවාද යන්න අසන්න. එම පිළිතුරු දෙක තීරණය කරන්නේ උමඟ සැබවින්ම ගෙන යන්නේ කුමක්ද යන්නයි.

ඒවා නොමැතිව ක්‍රියාත්මක සම්බන්‍ධතාවකට පවා කාර්යය අසමත් විය හැක. තල්ලු කළ විසඳුම්කරුවෙකු නොමැතිව ඉහළ ගිය උමඟක් අභ්‍යන්තර නාම පිළිතුරු රහිතව තබයි. නොමැති රථවාහන තෝරකය ගමනාන්තය උමඟෙන් පිටත තබයි, හස්ත සංග්‍රහය සාර්ථක වුවත්.

අන්ත ලක්ෂ්‍යයේ පරීක්ෂාව සේවාලාභී දෝෂයට වඩා වෙනස් ප්‍රශ්නයකට පිළිතුරු දෙයි. සම්බන්‍ධයක් නොමැතිව ළඟා විය හැකි තොටුපළ සත්‍යාපනය පෙන්වා දෙන අතර, ළඟා විය නොහැකි තොටුපළ මාර්ගය පෙන්වා දෙයි.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

සේවාලාභියා තුළ කිසිවක් වෙනස් කිරීමට පෙර එම පරීක්ෂාව ධාවනය කරන්න. තොටුපළ පිළිතුරු දුන්නත් සම්බන්‍ධය තවමත් අසමත් වන්නේ නම්, ගැටලුව අක්තපත්‍ර හෝ ප්‍රතිපත්තියයි. ඒවා කිසිසේත් පිළිතුරු නොදෙන්නේ නම්, කිසිදු පැතිකඩ සංස්කරණයක් උපකාර නොකරයි.

ප්‍රොටෝකෝල දෙකම එකට පැවතිය යුතු විට

ජාල දෙකම පරිපාලනය කිරීම ප්‍රොටෝකෝල දෙකම තබා ගැනීමට වලංගු හේතුවකි. සුපුරුදු නිර්මාණය WireGuard සහ IPsec වෙන වෙනම අතුරුමුහුණත් හෝ වෙන වෙනම ද්වාර මත අවසන් කරයි. අනුමත රථවාහන පසුව ඒවා අතර මාර්ගගත කෙරේ.

එම නිර්මාණය විශ්වාසයේ සහ අවසරයේ මායිමක් හඳුන්වා දෙන අතර එය එසේම ලේඛනගත කළ යුතුය. කුමන සහකරුවන්ට තරණය කළ හැකිද, කුමන දිශාවටද සහ කාගේ ප්‍රතිපත්තිය යටතේද යන්න මාර්ගගත කිරීම සහ ගිනි පවුරේ තීරණයකි. කිසිදු ප්‍රොටෝකෝලයක් එය සපයන්නේ නැත.

එය නොවන දෙය වන්නේ විනිවිද පෙනෙන පරිවර්තනයකි. WireGuard හරහා පැමිණෙන රථවාහන IPsec උමඟ තුළ නැවත ජනිත වන අතර, ඒ අතර ඇති සෑම ප්‍රතිපත්තියක්ම එයට අදාළ වේ.

මුලින්ම සේවාදායකයේ ප්‍රොටෝකෝල සහ සත්‍යාපන අවශ්‍යතා පැහැදිලි කරන්න. පසුව ක්‍රියාකරු අනුග්‍රහය දක්වන සේවාලාභියා සහ ලියාපදිංචි මාර්ගය භාවිත කරන්න, සහ එසේ සිදුවන අතරතුර පෞද්ගලික යතුරු වෙබ් පරිවර්තකවලින් ඈත් කර තබන්න.