Wasifu wa WireGuard kwa lango la IPsec: nini cha kuuliza badala yake

Muda wa handshake kuisha kwa lango lisiloitikia kwa kawaida humaanisha itifaki mbili ambazo hazikutani kamwe. Peer ya WireGuard huzungumza Noise wakati lango la IPsec linasubiri IKE. Anwani na bandari sahihi hazibadilishi hilo.

Kutumia tena endpoint katika wasifu hakuunganishi hizo mbili. Hatua inayofuata ni ombi kwa anayeendesha lango.

Ombi la kwanza: toleo la itifaki

IPsec huitaja familia na si mtiririko mmoja wa kazi. IKEv2 na IKEv1 hutofautiana katika mabadilishano yao, chaguo za uthibitishaji na tabia yao wakati mtandao unabadilika. Lango linalomaliza IKEv1 pekee litatenda tofauti kabisa na lile linalotoa IKEv2. Usanidi wa mteja hubadilika pamoja na hilo.

Uliza ni toleo gani huduma inamaliza na ikiwa inaendesha utekelezaji wa kiwango au lahaja ya msambazaji yenye mteja wake mwenyewe. Menyu za mifumo ya uendeshaji mara nyingi huficha jibu hilo nyuma ya lebo moja. Lebo siyo itifaki.

Ombi la pili: mbinu ya uthibitishaji ya mteja

Uthibitishaji ni mahali ambapo sehemu kubwa ya kazi halisi iko. Huduma inaweza kutarajia cheti cha mashine chenye matumizi maalum ya ufunguo yaliyopanuliwa, cheti cha mtumiaji, mbinu ya EAP juu ya IKEv2 au ufunguo ulioshirikiwa mapema na kufungwa na utambulisho. Ipi inatumika huamua mteja anahitaji nini.

Ufunguo wa faragha wa WireGuard siyo chochote kati ya hivyo. Ni ufunguo wa Curve25519 unaotumika katika handshake moja maalum. Hakuna ubadilishaji unaoufanya kuwa cheti au sifa ya EAP. Kifaa kinachodai kinyume chake kinabadilisha jina la faili au kinazalisha kitu kisichohusiana.

Vipimo vya IKEv2 katika RFC 7296 vinaeleza kile utekelezaji wa toleo hilo unapaswa kuunga mkono. Ni marejeleo kwa jibu lisilo wazi la mwendeshaji, si mwongozo wa usanidi wa mteja.

Ombi la tatu: utambulisho unaoaminika na mahali pa kwenda

Omba utambulisho wa lango jinsi mteja anapaswa kuuona, pamoja na nanga ya imani inayouthibitisha. Kisha uliza ni safu gani za faragha na vitatuzi ambavyo huduma inasukuma. Majibu hayo mawili huamua kile handaki inachobeba kwa kweli.

Bila hayo, muunganisho unaofanya kazi bado unaweza kushindwa kazi. Handaki iliyoinuka bila kitatuzi kilichosukumwa huacha majina ya ndani bila jibu. Kichaguzi cha trafiki kinachokosekana huacha lengo nje ya handaki ingawa handshake ilifanikiwa.

Uchunguzi wa endpoint hujibu swali tofauti na hitilafu ya mteja. Bandari inayoweza kufikiwa bila ushirikiano huelekeza kwenye uthibitishaji, wakati bandari isiyoweza kufikiwa huelekeza kwenye njia.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Endesha uchunguzi huo kabla ya kubadilisha chochote kwenye mteja. Ikiwa bandari zinajibu na ushirikiano bado unashindwa, tatizo ni sifa za kuthibitisha au sera. Ikiwa hazijibu kabisa, hakuna uhariri wa wasifu utakaosaidia.

Wakati itifaki zote mbili zinapaswa kuwa pamoja

Kusimamia mitandao yote mawili ni sababu halali ya kuweka itifaki zote mbili. Muundo wa kawaida humaliza WireGuard na IPsec kwenye violesura tofauti au lango tofauti. Trafiki iliyoidhinishwa hupitishwa kati yao.

Muundo huo huanzisha mpaka wa imani na idhini, na inapaswa kuandikwa kama hivyo. Peer gani wanaweza kuvuka, kwa mwelekeo gani na chini ya sera ya nani ni uamuzi wa uelekezaji na ukuta wa moto. Hakuna itifaki inayotoa hilo.

Kinachosisi ni ubadilishaji wa uwazi. Trafiki inayofika kupitia WireGuard huzaliwa upya ndani ya handaki ya IPsec, na kila sera katikati inatumika kwayo.

Kwanza fafanua mahitaji ya itifaki na uthibitishaji ya seva. Kisha tumia mteja na njia ya usajili ambayo mwendeshaji anaunga mkono, na weka funguo za faragha mbali na vibadilishaji vya wavuti wakati hilo likifanyika.