Maxaa ku jira soo jeedin IPsec? Beeraha IKE iyo ESP

IKE wuu bilaabmaa, labada dhinacba waxay ku dhawaaqaan AES, haddana tunnel-ku wuu guuldareystaa NO_PROPOSAL_CHOSEN. Log-ku wuxuu sheegaa soo jeedinta laakiin ma sheegto goobta aan iswaafaqsaneyn. Soo jeedin waa hal soo jeedin buuxda, hal goob oo aan waafaqsaneyn waxay burinaysaa isku darka oo dhan ma aha oo kaliya safkaas. U akhrinta sidii boorso doorashooyin algorithms madax banaan waa sababta caadiga ah ee iswaafaq la'aanta u sii qarsoonaato.

Laba wadatashi oo leh liisaska soo jeedin gaar ah

IKEv2 wuxuu dhisaa laba urur oo amaan. Midda hore waa IKE SA, oo ilaaliso isweydaarsiga xakamaynta laftiisa, midda labaadna waa CHILD SA, oo qaado taraafikadaada iyada oo ESP. Mid kastaa waxay leedahay liis soo jeedin u gaar ah, dhinacna wuu aqbali karaa mid oo diidi karaa tan kale.

Kala qaybintan waxay sharraxdaa jahwareer caadi ah: IKE SA shaqeynaya waxay caddeynaysaa oo kaliya in algorithms-ka kanaalka xakamaynta ay iswaafaqeen. Haddii soo jeedinta CHILD guuldareysto, tunnel-ku ma qaado hal baakidh, in kasta oo wajiga koowaad dhammaaday oo log-yadu kor uga muuqdaan caafimaad.

Nidaamka gudaha liis kasta ayaa sidoo kale muhiim ah. Jawaab-bixiyuhu wuxuu ka dooranayaa soo jeedimaha habaysan ee bilaabaha, sidaas darteed in qoraal si ballaadhan u waafaqsan kor loo raro mid cidhiidhi ah waxay beddelaysaa setka la rakibayo iyada oo aan la beddelin hal magac algorithm. Nidaamkaas ku xir konfigurashka halkii aad ku tiirsanaan lahayd qiimaha caadiga ah. Nidaam deggan ayaa sidoo kale ka dhigaya isbarbardhigga log-yada ee u dhexeeya goobaha mid macne leh.

Beeralayda kee baa ka tirsan soo jeedin kee

Setka beeralaydu wuu yar yahay, laakiin labada wadatashi kama mid aha. Akhri shaxda saf-saf, sababtoo ah goob ku jirta hal tiir ayaa laga yaabaa in aanay ku jirin tan kale. Hab-dhismeedka wuu ku kala duwan yahay hirgelinta; dokumentiga soo jeedimaha strongSwan waa hal tixraac cad.

Goobta sirteynta waxay sheegtaa cipher-ka iyo inta badan hab-dhismeedka dhererka furaha. Goobta daacadnimada waxay sheegtaa hash-ka loo isticmaalo xaqiijinta qoraalka sirteysan, PRF-na waxay sheegtaa shaqada soo saarta maaddada furaha IKE SA. Kooxda DH waxay dhistaa maaddo qarsoodi ah oo cusub oo la wadaago, sidaas darteed waxay ka muuqataa labada dhinac laakiin ujeeddooyin kala duwan.

Lambarka taxanaha la ballaariyay waxay ka tirsan yihiin oo kaliya dariiqa xogta. Waxay ballaariyaan booska taxanaha oo waxaa laga wada xaajoodaa qayb ka mid ah soo jeedinta CHILD, sidaas darteed iswaafaq la'aan halkaas waxay diiddaa soo jeedin CHILD halka IKE SA aan la taaban.

Sida hal soo jeedin buuxda loo doorto

Soo jeedin kastaa waa set, jawaab-bixiyuhuna wuxuu raadiyaa set ay goob kasta oo loo baahan yahay ku tahay mid la aqbali karo. Laba liis ayaa labaduba yeelan karaan AES iyo SHA-256 welina aan lahaan qoraal waafaqsan, sababtoo ah dhererka furaha, PRF ama kooxda DH way kala duwan yihiin. Isbarbardhiggu wuxuu ku dhacaa soo jeedin kasta, ma aha algorithm kasta.

Marka aan waxba iswaafaqsaneyn, jawaab-bixiyuhu wuxuu diraa NO_PROPOSAL_CHOSEN isagoo wata nooca SA ee guuldareystay. Akhri liiska soo jeedin ee ogeysiisku tilmaamayo ka hor inta aadan beddelin konfigurashka; beddelka algorithms-ka ESP marka soo jeedinta IKE la diiday waxay luminaysaa hal wareeg diibag.

Waxaa fiican in la ogaado hab-dhaqanka doorashada marka aad hagaajinayso profile. Hirgelinno qaarkood waxay doorbidaan nidaamka bilaabaha, kuwa kale waxay dib u habeyn ku sameeyaan siyaasadda maxalliga ah, sidaas darteed set shaqeeya inta u dhaxaysa laba iibiyeyaal ayaa laga yaabaa inuu lumo marka aad rogto dhinaca bilaaba xiriirka.

AEAD wuxuu goob ka saaraa halkii uu mid ku dari lahaa

AES-GCM iyo ChaCha20-Poly1305 waxay xaqiijiyaan oo sirteeyaan hal hawlgail. Marka mid ka mid ah loo doorto ESP, algorithm-ka daacadnimada si gaar ah loogama wada xaajoodo, sababtoo ah dhismaha AEAD ayaa horey u daboolaya. Sidaas darteed soo jeedin isku xirta AES-GCM iyo SHA-256 waa mid xad dhaaf ah marka ugu fiican oo la diiday marka ugu xun.

PRF waxay ku sii socotaa si gaar ah dhinaca IKE, maadaama ay furaha u soo saarto kanaalka xakamaynta halkii ay ilaalin lahayd culayska. Taasi waa sababta soo jeedinta IKE ay si sharci ah u isku dari karto cipher AEAD iyo PRF iyo koox DH, halka soo jeedinta ESP u dhiganta ay liis ku qorto oo kaliya cipher AEAD iyo kooxda PFS ikhtiyaarka ah.

Dhererka furaha waa qayb ka mid ah token-ka sirteynta, sidaas darteed AES-128-GCM iyo AES-256-GCM waa soo jeedimo kala duwan. Profile laga koobiyeeyay hage maleeyay furayaal 256-bit ma waafaqsanaan doono barta ugu dambeysa ee loo habeeyay 128-bit, in kasta oo labada sadar ay yiraahdaan AES-GCM. Laba dhinac way ku heshiin karaan qoyska cipher welina way is diidi karaan lambarka ka dambeeya xariiqda.

Akhri SA la rakibay, ma aha konfigurashka

Liiska soo jeedimaha la habeeyay waa soo jeedin; SA la rakibay waa natiijada. strongSwan iyo kernel-ka Linux labada aragtiyood waa diyaar:

sudo swanctl --list-sas
sudo ip xfrm state
sudo ip xfrm policy

swanctl --list-sas waxay daabacdaa algorithms-ka laga wada xaajooday SA kasta, oo ay ku jirto haddii CHILD uu isticmaalayo AEAD. ip xfrm state waxay muujinaysaa waxa kernel-ku dhab ahaan rakibay, halkaasna waa meesha lagu xaqiijinayo in cusboonaysiinta furaha aysan ku laabanin set ka duwan kii aad diiwaangelisay.

Kaydi wax-soo-saarkaas konfigurashka agtiisa sixid ka dib. Marka cusboonaysiinta macmiilku beddesho qiimaha caadiga ah, setka la diiwaangeliyay wuxuu ku siinayaa saldhig isbarbardhig, isbarbardhiguna wuxuu tilmaamaa goobta dhaqaaqday halkii uu baaritaanka ka bilaabi lahaa bilow.