IKEv2 ma aha hal gacan-qaad: IKE SA, aqoonsi, ka dibna CHILD SA
Jawaabta albaabku waxay caddeysaa gaaritaanka, ma aha aqoonsiga. Raac IKE_SA_INIT, IKE_AUTH iyo CHILD SA ugu horreeya, ka dib hubi waxa run ahaan doona ka hor inta uusan taraafikku gudbin.
Waxaa laga yaabaa inaad u maleyso in isku xirka IKEv2 uu yahay hal isdhaafsi ku dhammaada taraafikkaaga oo sir ah. Waa ugu yaraan laba, kan koowaadna qofna ma aqoonsado. Labada dhinac waxay ku bilaabaan fariimaha kontoroolka, ku heshiiyaan halbeegyada cryptographic, caddeeyaan aqoonsiga, ka dibna kaliya ka wada hadlaan xaaladda qaadda baakadaha barnaamijka. Nidaamkaas ayaa sharraxaya is-khilaafka dadku si joogto ah u soo sheegaan: albaabku wuu jawaabaa, macmiilku wuxuu leeyahay waa xiran yahay, barnaamijka gaarka ahna wali wuu dhacaa wakhtiga. Hoos waxaa ku qoran waxa marxalad kastu dhab ahaan sameyso iyo waxa run ahaan doona ka dib.
Halyeeyga: haddii albaabku jawaabo, waad xiran tahay
Jawaabta fariinta koowaad waxay caddeysaa in bartilmaameedka la gaari karo oo diyaar u yahay inuu hadlo. Ma caddeyso in akoon la aqbalay, in silsilad shahaado la xaqiijiyay, ama in siyaasad xog ah la rakibay.
Guul-darrooyinkaas ayaa dhaca goor dambe, waxayna leeyihiin calaamado kala duwan. Diidmada shahaadada ama guul-darro EAP waxay timaaddaa ka dib markii isdhaafsiga koowaad hore u guuleystay, taas ayaa keenaysa in ping ee UDP 500 iyo calaamadda cagaaran ee macmiilku wax yar sheegaan.
IKE_SA_INIT: ku heshiiya halbeegyo, ma aha aqoonsi
Isdhaafsiga koowaad wuxuu qaadaa soo-jeedinta ururka amniga IKE: algorithms-ka sir-garaynta iyo daacadnimada, hawsha pseudo-random, iyo kooxda Diffie-Hellman. Labada dhinac sidoo kale way is-weydaarsadaan nonce, dhinac kastana wuxuu ka soo saaraa maaddada furaha IKE SA sirta la wadaago ee qiimayaashan abuuraan. Waxba kuma jira isdhaafsigan caddaynaya qofka dhinaca kale. Waxay kaliya caddeysaa in labada dhinac ay xisaabin karaan isla furayaasha iyo inay ku heshiiyeen hal soo-jeedin. Ka jawaabayaasha aan jeclayn soo-jeedin kasta wuxuu halkan diidaa isdhaafsiga, taas ayaa keenaysa in is-khilaafka nooca ama algorithm-ka uu u muuqdo sida server dhacay.
IKE SA ee halkan la abuuray waxay ilaalisaa dhammaan isdhaafsiyada maamulka ee dambe. Taasi waa shaqadeeda, waana shaqo ka duwan ilaalinta baakadahaaga.
IKE_AUTH: caddee aqoonsiga, ka dibna dhis CHILD SA ugu horreysa
Isdhaafsiga labaad wuxuu qaadaa aqoonsiga. Shahaadooyin, dhinac kastaa wuxuu ku saxeexaa furaha gaarka ah wuxuuna soo bandhigaa silsilad ay tahay in dhinaca kale xaqiijiyo; EAP-na, ka jawaabayaashu wuxuu caqabad ku ah bilowga iyada oo la adeegsanayo habka la doortay. Halkan ayaa ugu dambeyntii soo baxa magac server khaldan, shahaado dhacday ama password la diiday.
Sida caadiga ah IKE_AUTH waxay sidoo kale ka wada hadashaa CHILD SA ugu horreysa, sidaas darteed ilaalinta xogta waxaa lagu heshiiyaa safarka isku mid ah. Bilowga wuxuu soo jeediyaa xulayaasha taraafikka, ka jawaabayaashu wuu yareeyaa ama diidaa, furayaasha dariiqa xogta waxaa laga soo saaraa IKE SA. Taasi micnaheedu waa hal isdhaafsi wuxuu ku guul-darrayn karaa laba meelood oo aad u kala duwan: aqoonsiga ama siyaasadda. Akhri payload-ka ogeysiiska ama khaladka halkii aad ka akhrin lahayd guul-darrada gacan-qaadka guud, sababtoo ah daawada midka waa shahaado tan kalena waa is-khilaaf subnet.
Laba SA, laba shaqo
| Urur | Ilaaliyaa | Dhaqanka nolosha |
|---|---|---|
| IKE SA | Isdhaafsiyada maamulka: cusboonaysiinta furayaasha, tirtiridda, payload-yada habeynta | Waxaa lagu cusboonaysiiyaa jadwalkiisa; dariiqa xogta wuu ka badbaadi karaa isbeddelka |
| CHILD SA | Taraafikka barnaamijka ee u dhigma xulayaasha taraafikka | Si madax-bannaan ayaa loo cusboonaysiiyaa, inta badan si ka badan |
Kala soociddooda waxay sharraxdaa laba dhaqan oo u muuqda khaladaad. Tunnel-ku wuxuu u muuqan karaa mid la dhisay inta cusboonaysiinta furayaashu ku guul-darraynayso gadaal, CHILD SA-na waa la beddeli karaa iyada oo aan macmiilku xiriirka lumin.
strongSwan,tixraaca habeynta IKEv2 iyo swanctl --list-sas waxay muujinayaan labada heer, ip xfrm state oo ay la socoto ip xfrm policy waxay muujinayaan waxa kernel-ku dhab ahaan rakibay. Isbarbardhigga labadan aragti waa habka ugu dhaqsiyaha badan ee lagu ogaado in wada-hadalku dhammaaday ama uu u muuqday mid dhammaaday. Haddii daemon-ku liis garaysto CHILD SA aan kernel-ku xaalad u lahayn, rakibidda si aamusan ayay ku guul-darraystay. Haddii kernel-ku hayo xaalad aan daemon-ku aqoon, waxaad eegaysaa hadhaaga isku-day hore.
Maxaa wali run ahaan doona ka dib markii tunnel-ku kor u kaco
Xulayaasha taraafikka waxay qeexaan ciwaannada la daboolay. Haddii macmiilku soo jeediyo hal subnet oo serverku filayo mid kale, CHILD SA waa la rakibayaa laakiin wax faa'iido leh ma qaado, khaladkuna wuxuu u muuqdaa dhibaato dariiqaynta ee ma aha wada-hadal. Kadib stack-ka deegaanku waa inuu iskaashi sameeyaa: gudbinta daaran halka martigu dariiqaynayo, dariiqo u jeeda tunnel-ka, xeerar firewall oo oggolaanaya baakadaha la kala furfuray, iyo xalliyaha gudaha haddii magacyo gaar ah ku lug leeyihiin. Mid kasta oo iyaga ka mid ah si gooni ah ayuu ku guul-darraystaa, midna laguma hagaajiyo dib-u-bilow daemon-ka IKE.
Diiwaanka ha u furnaado inta aad baaraysid: isdhaafsiga bilowga, kadib xaqiijinta aqoonsiga, kadib aqoonsiga isticmaalaha halka lagu dabaqo, kadib rakibidda CHILD, ugu dambayna taraafikka barnaamijka. Marxaladda istaagta waa tan la hagaajinayo, guul-darrada dariiqaynta dambe weligeed sabab uma noqoto in la dabciyo hubinta aqoonsiga ee hore u gudbay.