IPsec గేట్‌వే కోసం WireGuard ప్రొఫైల్: దానికి బదులుగా ఏమి అడగాలి

నిశ్శబ్ద గేట్‌వేతో హ్యాండ్‌షేక్ సమయం ముగియడం సాధారణంగా ఎప్పుడూ కలవని రెండు ప్రోటోకాల్‌లను సూచిస్తుంది. WireGuard పీర్ Noise మాట్లాడుతుంది, IPsec గేట్‌వే IKE కోసం వేచి ఉంటుంది. సరైన చిరునామా మరియు పోర్ట్ దాన్ని మార్చవు.

ప్రొఫైల్‌లో ఎండ్‌పాయింట్‌ను తిరిగి ఉపయోగించడం రెండింటినీ కలపదు. తదుపరి అడుగు గేట్‌వే నిర్వహించే వ్యక్తికి అభ్యర్థన.

మొదటి అభ్యర్థన: ప్రోటోకాల్ సంస్కరణ

IPsec ఒక కుటుంబాన్ని సూచిస్తుంది, ఒకే పని ప్రవాహాన్ని కాదు. IKEv2 మరియు IKEv1 తమ పరస్పర మార్పిడులు, ప్రామాణీకరణ ఎంపికలు మరియు నెట్‌వర్క్ మారినప్పుడు ప్రవర్తనలో భిన్నంగా ఉంటాయి. IKEv1 మాత్రమే ముగించే గేట్‌వే IKEv2 అందించే దానికంటే పూర్తిగా భిన్నంగా ప్రవర్తిస్తుంది. క్లయింట్ కాన్ఫిగరేషన్ కూడా దానితో మారుతుంది.

సేవ ఏ సంస్కరణను ముగిస్తుంది మరియు అది ప్రమాణ ఆధారిత అమలును లేదా సొంత క్లయింట్ ఉన్న విక్రేత రూపాన్ని నడుపుతుందా అని అడగండి. ఆపరేటింగ్ సిస్టమ్ మెనూలు ఆ సమాధానాన్ని ఒక లేబుల్ వెనుక దాచుతాయి. లేబుల్ ప్రోటోకాల్ కాదు.

రెండవ అభ్యర్థన: క్లయింట్ ప్రామాణీకరణ పద్ధతి

ప్రామాణీకరణ అనేది నిజమైన పనిలో ఎక్కువ భాగం ఉన్న ప్రదేశం. నిర్దిష్ట పొడిగించిన కీ వినియోగంతో కూడిన మెషిన్ సర్టిఫికేట్, వినియోగదారు సర్టిఫికేట్, IKEv2 పై EAP పద్ధతి లేదా గుర్తింపుకు కట్టుబడిన ముందుగా పంచుకున్న కీని సేవ ఆశించవచ్చు. ఏది వర్తిస్తుందో క్లయింట్‌కు ఏమి కావాలో నిర్ణయిస్తుంది.

WireGuard ప్రైవేట్ కీ వాటిలో ఏదీ కాదు. ఇది ఒక నిర్దిష్ట హ్యాండ్‌షేక్‌లో ఉపయోగించే Curve25519 కీ. ఏ మార్పిడి దాన్ని సర్టిఫికేట్ లేదా EAP ఆధారంగా చేయదు. అలా కాదని చెప్పే సాధనం ఫైల్ పేరు మారుస్తోంది లేదా సంబంధం లేని దాన్ని ఉత్పత్తి చేస్తోంది.

RFC 7296 లోని IKEv2 స్పెసిఫికేషన్ ఆ సంస్కరణ అమలు ఏమి మద్దతిస్తుందో వివరిస్తుంది. ఇది ఆపరేటర్ అస్పష్ట సమాధానానికి సూచన, క్లయింట్ కాన్ఫిగరేషన్ మార్గదర్శకం కాదు.

మూడవ అభ్యర్థన: విశ్వసనీయ గుర్తింపు మరియు గమ్యస్థానాలు

క్లయింట్ చూడాల్సిన విధంగా గేట్‌వే గుర్తింపును, దాన్ని ధృవీకరించే విశ్వాస యాంకర్‌తో పాటు అడగండి. తర్వాత సేవ ఏ ప్రైవేట్ పరిధులు మరియు రిజాల్వర్‌లను నెట్టుతుందో అడగండి. ఆ రెండు సమాధానాలు సొరంగం నిజంగా ఏమి మోసుకెళ్తుందో నిర్ణయిస్తాయి.

అవి లేకుండా పనిచేసే కనెక్షన్ కూడా పనిలో విఫలమవచ్చు. నెట్టిన రిజాల్వర్ లేకుండా లేచిన సొరంగం అంతర్గత పేర్లను సమాధానం లేకుండా వదిలేస్తుంది. లేని ట్రాఫిక్ ఎంపికదారు గమ్యస్థానాన్ని సొరంగం వెలుపల వదిలేస్తుంది, హ్యాండ్‌షేక్ విజయవంతమైనప్పటికీ.

ఎండ్‌పాయింట్ పరిశోధన క్లయింట్ లోపం కంటే భిన్నమైన ప్రశ్నకు సమాధానం ఇస్తుంది. అనుబంధం లేకుండా చేరుకోగల పోర్ట్ ప్రామాణీకరణను సూచిస్తుంది, చేరుకోలేని పోర్ట్ మార్గాన్ని సూచిస్తుంది.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

క్లయింట్‌లో ఏదైనా మార్చే ముందు ఆ పరిశోధన నడపండి. పోర్ట్‌లు సమాధానం ఇచ్చినా అనుబంధం ఇంకా విఫలమైతే, సమస్య ఆధారాలు లేదా విధానంలో ఉంది. అవి అసలు సమాధానం ఇవ్వకపోతే, ఏ ప్రొఫైల్ మార్పు సహాయపడదు.

రెండు ప్రోటోకాల్‌లు కలిసి ఉండాల్సినప్పుడు

రెండు నెట్‌వర్క్‌లను నిర్వహించడం రెండు ప్రోటోకాల్‌లను ఉంచుకోవడానికి చెల్లుబాటు అయ్యే కారణం. సాధారణ రూపకల్పన WireGuard మరియు IPsec లను వేర్వేరు ఇంటర్‌ఫేస్‌లు లేదా వేర్వేరు గేట్‌వేలపై ముగిస్తుంది. ఆమోదించిన ట్రాఫిక్ తర్వాత వాటి మధ్య రూట్ చేయబడుతుంది.

ఆ రూపకల్పన విశ్వాసం మరియు అనుమతి సరిహద్దును ప్రవేశపెడుతుంది, దాన్ని అలాగే నమోదు చేయాలి. ఏ పీర్‌లు దాటవచ్చు, ఏ దిశలో మరియు ఎవరి విధానం కింద అనేది రూటింగ్ మరియు ఫైర్‌వాల్ నిర్ణయం. ఏ ప్రోటోకాల్ దాన్ని అందించదు.

ఇది కాదు దానర్థం పారదర్శక మార్పిడి. WireGuard ద్వారా వచ్చే ట్రాఫిక్ IPsec సొరంగంలో తిరిగి సృష్టించబడుతుంది, మధ్యలో ఉన్న ప్రతి విధానం దానికి వర్తిస్తుంది.

మొదట సర్వర్ ప్రోటోకాల్ మరియు ప్రామాణీకరణ అవసరాలను స్పష్టం చేయండి. తర్వాత ఆపరేటర్ మద్దతిచ్చే క్లయింట్ మరియు నమోదు మార్గాన్ని ఉపయోగించండి, ఆ సమయంలో ప్రైవేట్ కీలను వెబ్ కన్వర్టర్‌ల నుండి దూరంగా ఉంచండి.