WireGuard profile para sa isang IPsec gateway: ano ang dapat itanong sa halip

Ang pag-timeout ng handshake sa isang tahimik na gateway ay karaniwang ibig sabihin ng dalawang protocol na hindi kailanman nagtatagpo. Nagsasalita ng Noise ang isang WireGuard peer habang naghihintay ng IKE ang isang IPsec gateway. Hindi iyon binabago ng tamang address at port.

Ang muling paggamit ng endpoint sa isang profile ay hindi nag-uugnay sa dalawa. Ang susunod na hakbang ay isang kahilingan sa kung sino ang nagpapatakbo ng gateway.

Unang kahilingan: ang bersyon ng protocol

Ang IPsec ay tumutukoy sa isang pamilya at hindi sa isang solong daloy ng trabaho. Nagkakaiba ang IKEv2 at IKEv1 sa kanilang mga palitan, mga opsyon sa pagpapatotoo at pag-uugali kapag nagbago ang network. Ang gateway na nagtatapos lamang ng IKEv1 ay kikilos nang ibang-iba kaysa sa isang nag-aalok ng IKEv2. Nagbabago rin ang configuration ng client kasama nito.

Itanong kung aling bersyon ang tinatapos ng serbisyo at kung gumagamit ito ng implementasyong nakabatay sa pamantayan o variant ng vendor na may sariling client. Madalas itinatago ng mga menu ng operating system ang sagot na iyon sa likod ng isang label. Ang label ay hindi ang protocol.

Ikalawang kahilingan: ang paraan ng pagpapatotoo ng client

Ang pagpapatotoo ang lugar kung saan naroon ang karamihan ng tunay na trabaho. Maaaring asahan ng serbisyo ang isang sertipiko ng makina na may partikular na pinalawig na paggamit ng susi, isang sertipiko ng gumagamit, isang paraan ng EAP sa ibabaw ng IKEv2, o isang susi na ibinahagi nang maaga at nakatali sa isang pagkakakilanlan. Alin ang naaangkop ang nagtatakda kung ano ang kailangan ng client.

Ang pribadong susi ng WireGuard ay wala sa mga iyon. Ito ay isang susi ng Curve25519 na ginagamit sa isang partikular na handshake. Walang conversion ang gumagawa nito na sertipiko o kredensyal ng EAP. Ang tool na nagsasabi ng kabaligtaran ay pinapalitan ang pangalan ng file o gumagawa ng walang kaugnayan.

Inilalarawan ng spesipikasyon ng IKEv2 sa RFC 7296 kung ano ang dapat suportahan ng isang implementasyon ng bersyong iyon. Ito ay sanggunian para sa malabong sagot ng operator, hindi gabay sa configuration ng client.

Ikatlong kahilingan: ang pinagkakatiwalaang pagkakakilanlan at ang mga destinasyon

Itanong ang pagkakakilanlan ng gateway ayon sa dapat makita ng client, kasama ang angkla ng tiwala na nagpapatunay nito. Pagkatapos itanong kung aling mga pribadong saklaw at resolver ang itinutulak ng serbisyo. Ang dalawang sagot na iyon ang nagtatakda kung ano talaga ang dinadala ng tunnel.

Kung wala ang mga iyon, ang gumaganang koneksyon ay maaari pa ring mabigo sa gawain. Ang tunnel na nakatayo nang walang itinulak na resolver ay nag-iiwan ng mga panloob na pangalan na walang sagot. Ang nawawalang tagapili ng trapiko ay nag-iiwan ng destinasyon sa labas ng tunnel kahit nagtagumpay ang handshake.

Ang pagsisiyasat sa endpoint ay sumasagot sa ibang tanong kaysa sa error ng client. Ang naaabot na port na walang asosasyon ay tumuturo sa pagpapatotoo, habang ang hindi naaabot na port ay tumuturo sa landas.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Patakbuhin ang pagsisiyasat na iyon bago baguhin ang anuman sa client. Kung sumasagot ang mga port at nabibigo pa rin ang asosasyon, ang problema ay ang mga kredensyal o ang patakaran. Kung hindi sila sumasagot talaga, wala kang matutulungan ng anumang pag-edit ng profile.

Kapag kailangang magkasamang umiral ang dalawang protocol

Ang pangangasiwa sa dalawang network ay isang lehitimong dahilan upang panatilihin ang dalawang protocol. Ang karaniwang disenyo ay nagtatapos ng WireGuard at IPsec sa magkahiwalay na interface o magkahiwalay na gateway. Ang aprubadong trapiko ay iruruta sa pagitan nila.

Ang disenyong iyon ay nagpapakilala ng hangganan ng tiwala at awtorisasyon, at dapat itong isulat nang ganoon. Kung aling mga peer ang maaaring tumawid, sa aling direksyon at sa ilalim ng patakaran ng kanino ay desisyon sa routing at firewall. Wala sa dalawang protocol ang nagbibigay nito.

Ang hindi ito ay isang transparent na conversion. Ang trapikong dumarating sa WireGuard ay muling nililikha sa tunnel ng IPsec, at bawat patakarang nasa pagitan ay nalalapat dito.

Linawin muna ang mga pangangailangan ng server sa protocol at pagpapatotoo. Pagkatapos gamitin ang client at ang landas ng pagpaparehistro na sinusuportahan ng operator, at ilayo ang mga pribadong susi sa mga web converter habang nangyayari iyon.