IPsec shlyuzi uchun WireGuard profili: o'rniga nimani so'rash kerak

Jim shlyuz bilan handshake vaqti tugashi odatda hech qachon uchrashmaydigan ikki protokolni bildiradi. WireGuard peer Noise tilida gapiradi, IPsec shlyuzi esa IKE kutadi. To'g'ri manzil va port buni o'zgartirmaydi.

Profilda endpointni qayta ishlatish ikkalasini bog'lamaydi. Keyingi qadam shlyuzni boshqaradigan kishiga so'rov yuborishdir.

Birinchi so'rov: protokol versiyasi

IPsec bitta ish oqimini emas, oilani nomlaydi. IKEv2 va IKEv1 almashinuvlari, autentifikatsiya variantlari va tarmoq o'zgarganda xatti-harakati bilan farqlanadi. Faqat IKEv1 ni tugatadigan shlyuz IKEv2 taklif qiladigan shlyuzdan butunlay boshqacha ishlaydi. Mijoz konfiguratsiyasi ham shunga qarab o'zgaradi.

Xizmat qaysi versiyani tugatishini va standartlarga asoslangan tatbiqmi yoki o'z mijozi bo'lgan sotuvchi variantimi ishlatishini so'rang. Operatsion tizim menyulari ko'pincha bu javobni bitta yorliq orqasiga yashiradi. Yorliq protokol emas.

Ikkinchi so'rov: mijozning autentifikatsiya usuli

Autentifikatsiya haqiqiy ishning katta qismi joylashgan joydir. Xizmat ma'lum kengaytirilgan kalit ishlatilishiga ega mashina sertifikati, foydalanuvchi sertifikati, IKEv2 ustidagi EAP usuli yoki identifikatorga bog'langan oldindan bo'lishilgan kalitni kutishi mumkin. Qaysi biri amal qilishi mijozga nima kerakligini belgilaydi.

WireGuard maxfiy kaliti bularning hech biri emas. Bu bitta aniq handshake da ishlatiladigan Curve25519 kalitidir. Hech qanday o'zgartirish uni sertifikat yoki EAP hisob ma'lumotiga aylantirmaydi. Aksini da'vo qiladigan vosita fayl nomini o'zgartiradi yoki aloqasiz narsa yaratadi.

RFC 7296 dagi IKEv2 spetsifikatsiyasi o'sha versiya tatbiqi nimani qo'llab-quvvatlashi kerakligini tavsiflaydi. Bu operatorning noaniq javobi uchun ma'lumotnoma, mijoz konfiguratsiyasi bo'yicha qo'llanma emas.

Uchinchi so'rov: ishonchli identifikator va manzillar

Shlyuz identifikatorini mijoz ko'rishi kerak bo'lgan shaklda, uni tasdiqlovchi ishonch ankeri bilan birga so'rang. So'ngra xizmat qaysi xususiy diapazonlar va rezolverlarni yuborishini so'rang. Bu ikki javob tunnel aslida nimani tashishini belgilaydi.

Ularsiz ishlayotgan ulanish ham vazifani bajara olmasligi mumkin. Yuborilgan rezolversiz ko'tarilgan tunnel ichki nomlarni javobsiz qoldiradi. Yo'q trafik tanlagichi manzilni tunneldan tashqarida qoldiradi, handshake muvaffaqiyatli bo'lgan bo'lsa ham.

Endpoint tekshiruvi mijoz xatosidan boshqa savolga javob beradi. Bog'lanishsiz erishish mumkin bo'lgan port autentifikatsiyaga ishora qiladi, erishib bo'lmaydigan port esa yo'lga.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Mijozda biror narsani o'zgartirishdan oldin shu tekshiruvni bajaring. Portlar javob bersa-yu, bog'lanish hali ham muvaffaqiyatsiz bo'lsa, muammo hisob ma'lumotlarida yoki siyosatda. Ular umuman javob bermasa, hech qanday profil tahriri yordam bermaydi.

Ikkala protokol birga mavjud bo'lishi kerak bo'lganda

Ikkala tarmoqni boshqarish ikkala protokolni saqlab qolish uchun asosli sababdir. Odatiy dizayn WireGuard va IPsec ni alohida interfeyslarda yoki alohida shlyuzlarda tugatadi. Tasdiqlangan trafik keyin ular orasida yo'naltiriladi.

Bu dizayn ishonch va ruxsat chegarasini kiritadi va u shunday yozib qo'yilishi kerak. Qaysi peerlar o'tishi mumkinligi, qaysi yo'nalishda va kimning siyosati ostida bo'lishi yo'naltirish va tarmoq devori qaroridir. Ikkala protokol ham buni bermaydi.

Bu bo'lmagan narsa shaffof o'zgartirishdir. WireGuard orqali keladigan trafik IPsec tunnelida qayta yaratiladi va oradagi har bir siyosat unga tatbiq etiladi.

Avval serverning protokol va autentifikatsiya talablarini aniqlang. So'ngra operator qo'llab-quvvatlaydigan mijoz va ro'yxatdan o'tish yo'lidan foydalaning, va shu vaqt ichida maxfiy kalitlarni veb konverterlardan uzoqda tuting.