இரண்டு VPN அடுக்குகளை ஒன்றின் மேல் ஒன்றாக வைக்க வேண்டுமா? சரிபார்க்க மூன்று நிபந்தனைகள்

VPN-க்கு இரண்டாவது மறையாக்க அடுக்கைச் சேர்ப்பதற்கு முன், ஒரு கேள்விக்கு நேர்மையாகப் பதிலளியுங்கள்: இரு அடுக்குகளும் தங்கள் வேலையை முடித்த பிறகும் பார்வையாளரிடம் எது எஞ்சியிருக்கிறது? பதில் உள் மறையாக்கப்பட்ட எழுத்துரு என்றால், மாற்றமின்றி, கூடு கட்டுதல் நேரத்தை வாங்கியது, வேறு எதுவும் இல்லை. அடுத்து வருவது பரிந்துரை அல்ல, முடிவெடுக்கும் நடைமுறை. அதே வரைபடம் ஒரு பயன்பாட்டில் வீணான செயலியாகவும் மற்றொன்றில் சரியான பதிலாகவும் இருக்கும், இவற்றை மூன்று நிபந்தனைகள் மட்டுமே பிரிக்கின்றன.

பார்வையாளர் எதை வைத்திருக்கிறார் என்று எழுதுங்கள்

எதிராளி இன்று சேமிக்கக்கூடிய பொருளைப் பதிவு செய்யுங்கள், பின்னர் இறுதியில் தெளிவான உரையை வெளிப்படுத்தும் அகற்றல்களின் வரிசையைப் பதிவு செய்யுங்கள். வெளிப்புறச் சுரங்கப்பாதை மறையாக்கப்பட்ட உரையை உருவாக்குகிறது; அதன் பாதுகாப்பு முடிந்ததும் எஞ்சுவது உள் சுரங்கப்பாதையின் மறையாக்கப்பட்ட உரை, இன்னும் முத்திரையிடப்பட்டது. உறையை அகற்றுவது மறைகுறியாக்கம் அல்ல. அந்த வாக்கியம் கூடு கட்டுதலை விவரிக்கிறது, உள் விசை உயிரோடிருக்கும் வரை மட்டுமே அது உண்மை. இரு அடுக்குகளும் எதையும் பகிர்ந்துகொள்ளும் கணமே, காலக்கோடு ஒரே நிகழ்வாகச் சரிகிறது.

எனவே பயனுள்ள உருவாக்கம் காலக்கோடு, பெட்டிகளின் வரைபடம் அல்ல. ஒவ்வொரு அடுக்குக்கும் முடிவுப் புள்ளி, விசையின் உரிமையாளர், அடையாளச் சரிபார்ப்பு மற்றும் அனுமானம் தோல்வியடையும் என எதிர்பார்க்கப்படும் ஆண்டு ஆகியவற்றை எழுதுங்கள்.

உங்கள் சொந்தக் கூற்றைச் சோதிக்கும் நடைமுறை வழி: பார்வையாளர் எல்லாவற்றையும் பதிவு செய்கிறார், ஒருபோதும் விட்டுக்கொடுக்கவில்லை என வைத்துக்கொள்ளுங்கள். அந்த அனுமானத்தின் கீழ், வடிவமைப்பு தேவையான ஆயுளுக்கு சுமையை இன்னும் பாதுகாக்கிறதா? பதில் பார்வையாளர் போக்குவரத்தைச் சேமிக்காமல் இருக்கத் தேர்ந்தெடுப்பதைப் பொறுத்திருந்தால், வடிவமைப்புக்கு பதில் இல்லை.

நிபந்தனை ஒன்று: அடுக்குகள் வெவ்வேறு இடங்களில் நிற்கின்றனவா?

இரண்டு அடுக்குகளும் வெவ்வேறு நம்பிக்கைக் களங்களில் முடியும்போது கூடு கட்டுதல் பயனளிக்கிறது, எடுத்துக்காட்டாக வழங்குநரால் நிர்வகிக்கப்படும் IPsec நுழைவாயில் முன், உங்கள் சொந்த வலையமைப்புக்குள் முடியும் பயன்பாட்டு-நிலைச் சுரங்கப்பாதை. அப்போது வெளிப்புற அடுக்கை உடைப்பது உங்கள் புரவலர் மட்டுமே திறக்கக்கூடிய மறையாக்கப்பட்ட உரையைத் தருகிறது, வழங்குநர் எந்த நேரத்திலும் தெளிவான உரையைப் பார்ப்பதில்லை. இரு அடுக்குகளையும் ஒரே நுழைவாயிலில் வையுங்கள், அந்தப் பண்பு மறைந்துவிடும். பெட்டியை உடைப்பவர், வரைபடம் எத்தனை உறைகளைக் காட்டினாலும், இரு மறைகுறியாக்கச் செயல்பாடுகளுக்கு இடையிலான போக்குவரத்தைப் படிக்கிறார்.

இதை வடிவமைப்பால் அல்ல, நிறுவப்பட்ட நிலையால் சரிபாருங்கள். Linux-இல், ip xfrm state ஒவ்வொரு பாதுகாப்பு இணைப்பையும் அதன் முடிவுப் புள்ளிகளையும் பட்டியலிடுகிறது, இது ஒவ்வொரு அடுக்கும் உண்மையில் எங்கு நிற்கிறது என்பதைத் தீர்மானிக்கிறது.

நிபந்தனை இரண்டு: விசைப் பொருள் உண்மையிலேயே சுயாதீனமானதா?

ஒரே சான்றிதழ், ஒரே முன்-பங்கிடப்பட்ட விசை அல்லது ஒரே விற்பனையாளர் நூலகத்திலிருந்து கட்டப்பட்ட இரு அடுக்குகள் கூடுதல் படிகளைக் கொண்ட ஒரே அடுக்கு. அப்போது ஒரே கசிந்த அடையாளச் சான்று இரண்டையும் திறக்கிறது, ஒரே செயலாக்கப் பிழை இரண்டையும் ஒரே நேரத்தில் அகற்றுகிறது. சுயாதீனம் உள்ளமைவில் தெரிய வேண்டும், ஸ்லைடில் கூறக்கூடாது.

இங்குதான் கலப்பின விசை நிறுவல் சுரங்கப்பாதைகளை அடுக்குவதை மிஞ்சுகிறது. IKEv2 ஒரே பேச்சுவார்த்தையில் பல விசைப் பரிமாற்றங்களை எடுத்துச் செல்ல முடியும், எனவே செந்நெறிக் குழுவும் பிந்தைய-குவாண்டம் KEM-உம் ஒரே அமர்வு விசைகளுக்கு உணவளிக்க முடியும், ஒன்றை ஒன்று சுற்றி மடிப்பதற்குப் பதிலாக. இதன் விளைவு இரு இரகசியங்களையும் சார்ந்த விசைகளைக் கொண்ட ஒரே பாதுகாப்பு இணைப்பு, தாக்குபவர் இரண்டையும் உடைக்க வேண்டும். இது வரையறுக்கப்பட்ட கலவையுடன் ஆவணப்படுத்தப்பட்ட கட்டுமானம், இரு VPN தயாரிப்புகளின் வீட்டில் கட்டிய குவியல் அல்ல. strongSwan-இல், swanctl --list-sas ஒவ்வொரு SA-க்கும் பேச்சுவார்த்தை நடத்திய முன்மொழிவை அச்சிடுகிறது, அதனால் நீங்கள் உள்ளமைத்ததை அல்ல, உண்மையில் இயங்கியதை உறுதிப்படுத்துகிறீர்கள்.

நிபந்தனை மூன்று: தரவு வெளிப்புற அனுமானத்தை விட நீடிக்கிறதா?

இருபது ஆண்டுகள் நிலைத்திருக்க வேண்டிய அடுக்குக்கு இருபது ஆண்டு வாதம் தேவை. இப்போது பதிவுசெய்து பின்னர் மறைகுறியாக்குவது மலிவானது, அதனால்தான் செந்நெறி வெளிப்புற அடுக்கை வலிமையான ஒன்றின் சுற்றியுள்ள தற்காலிக உறையாகக் கருத முடியாது.

ஒவ்வொரு விசையும் எப்போது மீட்டெடுக்கக்கூடியதாகிறது என்று கேளுங்கள், மறையாக்கம் இன்று உடைந்துள்ளதா என்றல்ல. முன்னோக்கு இரகசியத்தன்மை இல்லாத நிலையான விசைப் பரிமாற்றம் தனிப்பட்ட விசை விழும் நாளில் பின்னோக்கி தோல்வியடைகிறது. நிலைமாறும் விசை ஒப்பந்தம், தாக்குபவர் உயிரோடிருக்கும்போது தாக்கக்கூடிய அமர்வுகளுக்கு மட்டுமே, அல்லது படிமுறை தானே பலவீனமடையும்போது தோல்வியடைகிறது. அந்த வேறுபாடு 2040-இல் உள் அடுக்கு இன்னும் உதவுகிறதா என்பதைத் தீர்மானிக்கிறது. வெளிப்புற அடுக்கு எதையும் மாற்றுகிறதா என்பதையும் அது தீர்மானிக்கிறது, ஏனெனில் பலவீனமான விசை ஆயுள் கொண்ட வெளிப்புற அடுக்கு காலக்கோட்டின் மிக முந்தைய புள்ளியாகிவிடுகிறது.

பதில் இல்லை எனும்போது அதற்குப் பதிலாக என்ன கட்ட வேண்டும்

மூன்று நிபந்தனைகளில் ஏதேனும் தோல்வியடைந்தால், கூடு கட்டுதலைக் கைவிட்டு, ஆயுள் தேவையை உண்மையில் சுமக்கும் அடுக்கில் முயற்சியைச் செலவிடுங்கள். நீங்கள் ஏற்கனவே இயக்கும் நெறிமுறையில் கலப்பின விசைப் பரிமாற்றத்தை உள்ளமைக்கவும், செயலாக்கத்தை புதுப்பித்த நிலையில் வைத்திருங்கள், நீங்கள் நம்பியிருக்கும் கலவையை எழுதுங்கள். வடிவமைப்பு ஆவணத்தில் ML-KEM-ஐக் குறிப்பிடுவது பாதுகாப்புப் பண்பு அல்ல, மேலும் FIPS 203 விசை-உறையிடல் பொறிமுறையை வரையறுக்கிறது, உங்கள் சுரங்கப்பாதையை அல்ல.

இரண்டாவது அடுக்கு உண்மையில் தன் இடத்தைப் பெறும் இடத்தில், அதைச் சான்றாக அல்ல, ஆழமான பாதுகாப்பாக விவரிக்கவும். பின்னர் கலவையைச் சரிபார்க்கவும்: எந்த முடிவுப் புள்ளி எந்த விசையை வைத்திருக்கிறது, ஒவ்வொரு பக்கமும் எந்த அடையாளத்தைச் சரிபார்க்கிறது, கன்சோல் அணுகல் உள்ள இயக்குபவர் என்ன படிக்க முடியும். அந்த மூன்று கேள்விகளைத் தாங்கும் வடிவமைப்பு கூடுதல் செயலிக்குத் தகுதியானது. தாங்காதது வெறும் வரைபடம்.

மாற்றச் சாளரத்திற்கு முன் தற்போதைய SA அட்டவணையையும் பேச்சுவார்த்தை நடத்திய முன்மொழிவுகளையும் பதிவுசெய்து, அதன் பிறகு மீண்டும் பதிவுசெய்து ஒப்பிடுங்கள், ஏனெனில் முக்கியமான ஒரே சான்று சாதனங்கள் உண்மையில் எதற்கு ஒப்புக்கொண்டன என்பதுதான்.