WireGuard profile loogu talagalay gateway IPsec: waxa aad weydiiso halkii

Waqtiga handshake-ka oo dhammaada gateway aamusan waxay caadi ahaan ka dhigan tahay laba protocol oo aan waligood kulmin. WireGuard peer wuxuu ku hadlaa Noise halka gateway IPsec uu sugayo IKE. Cinwaanka iyo portka saxda ah taas ma beddelaan.

Isteelaadda endpoint-ka profile ma isku xidho labada. Tallaabada xigta waa codsi loo dirayo kan maamula gateway-ga.

Codsi kow: nooca protocolka

IPsec wuxuu magacaabaa qoys halkii uu ka ahaan lahaa hal socod werko. IKEv2 iyo IKEv1 way ku kala duwan yihiin is-weydaarsigooda, xulashooyinka xaqiijinta iyo dhaqanka marka shabakaddu is beddelo. Gateway ku dhammaada IKEv1 oo keliya ayaa si aad uga duwan u dhaqmi doona kan bixiya IKEv2. Habaynta client-kuna way la beddelataa.

Weydii nooca ay adeeggu dhammaado iyo haddii uu ku shaqeeyo hirgelin caalami ah ama nooc tixraac ah oo leh client u gaar ah. Liisaska nidaamka hawlgalku waxay badanaa jawabtaas ku qariyaan hal calaamad gadaasheeda. Calaamaddu ma aha protocolka.

Codsi labaad: habka xaqiijinta client-ka

Xaqiijintu waa halka inta badan shaqada dhabta ah ku taal. Adeeggu wuxuu filan karaa shahaado mishiin oo leh isticmaal fureed la ballaadhiyay, shahaado isticmaale, hab EAP oo IKEv2 ka sarreeya ama fure hore loo wadaagay oo ku xidhan aqoonsi. Midda khuseysa ayaa go'aamisa waxa client-ku u baahan yahay.

Furka gaarka ah ee WireGuard ma aha mid ka mid ah kuwaas. Waa fure Curve25519 oo lagu isticmaalo hal handshake gaar ah. Ma jiro beddelaad ka dhigta shahaado ama aqoonsi EAP. Qalab sheegta lidka taas wuxuu magaca faylka beddelaa ama abuuraa wax aan xiriir la lahayn.

Qeexidda IKEv2 ee RFC 7296 waxay sharraxaysaa waxa hirgelinta noocaas ay tahay inay taageerto. Waa tixraac loogu talagalay jawaab aan caddayn oo ka timid hawlwadeenka, ma aha hage habayn client.

Codsi saddexaad: aqoonsiga la aamini karo iyo goobaha

Weydii aqoonsiga gateway-ga sida client-ku arki karo, oo ay la socoto ankarta kalsoonida ee xaqiijisa. Kadib weydii noocyada gaarka ah iyo xalliyeyaasha ay adeeggu riixdo. Labadaas jawaab ayaa go'aamiya waxa tunnel-ku dhab ahaan qaado.

Iyaga la'aan xiriir shaqeeya wali wuu ku guuldareysan karaa hawsha. Tunnel soo baxay isagoo aan lahayn xalliyee la riixay ayaa magacyada gudaha uga tagaa jawaab la'aan. Doorashada taraafikada oo maqan waxay uga tagtaa goobta banaanka tunnel-ka in kasta oo handshake-ku guuleystay.

Baaritaanka endpoint-ka wuxuu ka jawaabaa su'aal ka duwan qaladka client-ka. Port la gaari karo oo aan xiriir lahayn wuxuu tilmaamaa xaqiijin, halka port aan la gaari karin uu tilmaamo wadada.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Samee baaritaankaas ka hor inta aadan wax ka beddelin client-ka. Haddii port-yadu jawaabaan oo xiriirku wali guuldareysto, dhibaatadu waa aqoonsiga ama siyaasadda. Haddii aanay haba jawaabin, wax beddelid profile ah ma caawin doonto.

Marka labada protocol ay tahay inay wada noolaadaan

Maamulka labada shabakad waa sabab sharci ah oo lagu hayo labada protocol. Naqshadda caadiga ah waxay ku dhammaataa WireGuard iyo IPsec interface gaar ah ama gateway gaar ah. Taraafikada la ogolaaday kadib ayaa lagu dhex maraa iyaga.

Naqshaddaas waxay soo bandhigtaa xad kalsooni iyo fasax, waana in sidaas loo qoraa. Peer-yada ay tahay inay gudbaan, jihada ay, iyo siyaasadda ayaa hoos timaada ayaa ah go'aan marrin iyo derbi dab. Mid ka mid ah labada protocol ma bixiyo taas.

Waxa aanay ahayn waa beddelaad hufan. Taraafikada soo gaadha WireGuard ayaa dib loogu abuuraa tunnel-ka IPsec, siyaasad kastana oo dhexda ku taal ayaa khuseysa.

Marka hore caddee shuruudaha protocolka iyo xaqiijinta server-ka. Kadib isticmaal client-ka iyo wadada diiwaangelinta ee hawlwadeenku taageero, oo furihii gaarka ahaa ka fogee beddelayaasha webka inta taas socoto.