IPsec நுழைவாயிலுக்கான WireGuard சுயவிவரம்: அதற்கு பதிலாக என்ன கேட்க வேண்டும்

அமைதியான நுழைவாயிலுடன் கைக்குலுக்கல் நேரம் முடிவது பொதுவாக ஒருபோதும் சந்திக்காத இரண்டு நெறிமுறைகளைக் குறிக்கிறது. WireGuard சக Noise பேசுகிறது, IPsec நுழைவாயில் IKE காக காத்திருக்கிறது. சரியான முகவரியும் துறையும் அதை மாற்றாது.

சுயவிவரத்தில் முனைப் புள்ளியை மீண்டும் பயன்படுத்துவது இரண்டையும் இணைக்காது. அடுத்த படி நுழைவாயிலை இயக்குபவருக்கு ஒரு கோரிக்கை.

முதல் கோரிக்கை: நெறிமுறை பதிப்பு

IPsec ஒரு குடும்பத்தைக் குறிக்கிறது, ஒரே பணிப்பாய்வை அல்ல. IKEv2 மற்றும் IKEv1 அவற்றின் பரிமாற்றங்கள், அங்கீகார விருப்பங்கள் மற்றும் வலையமைப்பு மாறும்போது நடத்தையில் வேறுபடுகின்றன. IKEv1 மட்டும் முடிப்பவர் IKEv2 வழங்குவதை விட முற்றிலும் வேறுபட்டு நடந்துகொள்வார். வாடிக்கையாளர் உள்ளமைவும் அதனுடன் மாறுகிறது.

சேவை எந்தப் பதிப்பை முடிக்கிறது, தரநிலை அடிப்படையிலான செயலாக்கமா அல்லது சொந்த வாடிக்கையாளரைக் கொண்ட விற்பனையாளர் வகையா எனக் கேளுங்கள். இயக்க முறைமை மெனுக்கள் அந்த பதிலை ஒரு லேபிளுக்குப் பின்னால் மறைக்கின்றன. லேபிள் நெறிமுறை அல்ல.

இரண்டாவது கோரிக்கை: வாடிக்கையாளரின் அங்கீகார முறை

அங்கீகாரமே உண்மையான வேலையின் பெரும் பகுதி இருக்கும் இடம். குறிப்பிட்ட விரிவாக்கப்பட்ட விசைப் பயன்பாட்டுடன் கூடிய இயந்திரச் சான்றிதழ், பயனர் சான்றிதழ், IKEv2 மீதான EAP முறை அல்லது அடையாளத்துடன் பிணைக்கப்பட்ட முன்பே பகிரப்பட்ட விசையை சேவை எதிர்பார்க்கலாம். எது பொருந்துகிறது என்பது வாடிக்கையாளருக்கு என்ன தேவை என்பதைத் தீர்மானிக்கிறது.

WireGuard தனிப்பட்ட விசை அவற்றில் எதுவும் இல்லை. இது ஒரு குறிப்பிட்ட கைக்குலுக்கலில் பயன்படுத்தப்படும் Curve25519 விசை. எந்த மாற்றமும் அதைச் சான்றிதழாகவோ EAP சான்றாகவோ ஆக்காது. இல்லை என்று கூறும் கருவி கோப்பின் பெயரை மாற்றுகிறது அல்லது தொடர்பற்ற ஒன்றை உருவாக்குகிறது.

RFC 7296 இல் உள்ள IKEv2 விவரக்குறிப்பு அந்தப் பதிப்பின் செயலாக்கம் எதை ஆதரிக்க வேண்டும் என்பதை விவரிக்கிறது. இது இயக்குபவரின் தெளிவற்ற பதிலுக்கான குறிப்பு, வாடிக்கையாளர் உள்ளமைவு வழிகாட்டி அல்ல.

மூன்றாவது கோரிக்கை: நம்பகமான அடையாளம் மற்றும் இலக்குகள்

வாடிக்கையாளர் பார்க்க வேண்டிய விதத்தில் நுழைவாயிலின் அடையாளத்தையும், அதைச் சரிபார்க்கும் நம்பிக்கை நங்கூரத்தையும் கேளுங்கள். பின்னர் சேவை எந்தத் தனிப்பட்ட வரம்புகளையும் தீர்வுகளையும் தள்ளுகிறது எனக் கேளுங்கள். அந்த இரண்டு பதில்களே சுரங்கப்பாதை உண்மையில் என்ன எடுத்துச் செல்கிறது என்பதைத் தீர்மானிக்கின்றன.

அவை இல்லாமல் வேலை செய்யும் இணைப்பும் பணியில் தோல்வியடையலாம். தள்ளப்பட்ட தீர்வி இல்லாமல் எழுந்த சுரங்கப்பாதை உள் பெயர்களை பதிலின்றி விடுகிறது. இல்லாத போக்குவரத்து தேர்வி இலக்கை சுரங்கப்பாதைக்கு வெளியே விடுகிறது, கைக்குலுக்கல் வெற்றி பெற்றாலும்.

முனைப் புள்ளியின் ஆய்வு வாடிக்கையாளர் பிழையிலிருந்து வேறுபட்ட கேள்விக்கு பதிலளிக்கிறது. இணைப்பு இல்லாமல் அணுகக்கூடிய துறை அங்கீகாரத்தைக் காட்டுகிறது, அணுக முடியாத துறை பாதையைக் காட்டுகிறது.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

வாடிக்கையாளரில் எதையும் மாற்றுவதற்கு முன் அந்த ஆய்வை இயக்குங்கள். துறைகள் பதிலளித்தும் இணைப்பு தொடர்ந்து தோல்வியடைந்தால், பிரச்சினை சான்றுகள் அல்லது கொள்கையில் உள்ளது. அவை பதிலேயளிக்காவிட்டால், எந்தச் சுயவிவரத் திருத்தமும் உதவாது.

இரண்டு நெறிமுறைகளும் ஒன்றாக இருக்க வேண்டியிருக்கும்போது

இரண்டு வலையமைப்புகளையும் நிர்வகிப்பது இரண்டு நெறிமுறைகளையும் வைத்திருப்பதற்கான நியாயமான காரணம். வழக்கமான வடிவமைப்பு WireGuard மற்றும் IPsec ஐ தனித்தனி இடைமுகங்களில் அல்லது தனித்தனி நுழைவாயில்களில் முடிக்கிறது. அங்கீகரிக்கப்பட்ட போக்குவரத்து பின்னர் அவற்றுக்கிடையே வழிநடத்தப்படுகிறது.

அந்த வடிவமைப்பு நம்பிக்கை மற்றும் அனுமதியின் எல்லையை அறிமுகப்படுத்துகிறது, அதை அப்படியே பதிவு செய்ய வேண்டும். எந்த சகர்கள் கடக்கலாம், எந்தத் திசையில், யாருடைய கொள்கையின் கீழ் என்பது வழிநடத்தல் மற்றும் தீர்வரம்பு முடிவு. எந்த நெறிமுறையும் அதை வழங்காது.

இது இல்லாதது வெளிப்படையான மாற்றமாகும். WireGuard வழியாக வரும் போக்குவரத்து IPsec சுரங்கப்பாதையில் மீண்டும் உருவாக்கப்படுகிறது, இடையில் உள்ள ஒவ்வொரு கொள்கையும் அதற்குப் பொருந்தும்.

முதலில் சேவையகத்தின் நெறிமுறை மற்றும் அங்கீகாரத் தேவைகளைத் தெளிவுபடுத்துங்கள். பின்னர் இயக்குபவர் ஆதரிக்கும் வாடிக்கையாளரையும் பதிவுப் பாதையையும் பயன்படுத்துங்கள், அதற்கிடையில் தனிப்பட்ட விசைகளை வலை மாற்றிகளிலிருந்து விலக்கி வையுங்கள்.