Kí ni ó wà nínú àbá IPsec? Àwọn pápá IKE àti ESP

IKE bẹ̀rẹ̀, ẹ̀gbẹ́ méjèèjì ń kéde AES, ṣùgbọ́n òpópónà ṣì kùnà pẹ̀lú NO_PROPOSAL_CHOSEN. Àkọsílẹ̀ dárúkọ àbá náà ṣùgbọ́n kò dárúkọ pápá tí kò báramu. Àbá kan jẹ́ ìdíyelé kan pípé, pápá kan tí kò báramu sì sọ gbogbo àkópọ̀ di asán, kì í ṣe ìlà yẹn nìkan. Kíka rẹ̀ gẹ́gẹ́ bí àpò àwọn yíyàn alugorídìmù olómìnira ni ìdí tí ó wọ́pọ̀ tí àìbáramu fi ń wà ní àìlóye.

Ìjíròrò méjì pẹ̀lú àwọn àkọsílẹ̀ àbá ọ̀tọ̀ọ̀tọ̀

IKEv2 ń kọ́ ẹgbẹ́ ààbò méjì. Èkíní ni IKE SA, tí ń dáàbò bo ìpààrọ̀ ìṣàkóso fúnra rẹ̀, èkejì sì ni CHILD SA, tí ń gbé ìrìnàjò rẹ kọjá ESP. Ọ̀kọ̀ọ̀kan ní àkọsílẹ̀ àbá rẹ̀, ẹnìkan sì lè gba ọ̀kan kí ó sì kọ èkejì.

Pípín yẹn ṣàlàyé ìdàrúdàpọ̀ tí ó wọ́pọ̀: IKE SA tí ń ṣiṣẹ́ ń fi kìkì pé àwọn alugorídìmù ikanni ìṣàkóso báramu. Bí àbá CHILD bá kùnà, òpópónà kò gbé pákítì kan, bí ó tilẹ̀ jẹ́ pé ìpele kìíní ti parí àti àwọn àkọsílẹ̀ dàbí aláìlera ní orí.

Ìtò inú àkọsílẹ̀ kọ̀ọ̀kan náà ṣe pàtàkì. Olùdáhùn ń yàn láti inú àwọn ìdíyelé tí a tò lẹ́sẹẹsẹ ti olùbẹ̀rẹ̀, nítorí náà gbígbé àkọsílẹ̀ tí ó báramu gbòòrò lókè èyí tí ó háwẹ́ ń yí àkójọ tí yóò fi sórí ẹ̀rọ padà láìyí orúkọ alugorídìmù kankan. Fi ìtò yẹn mọ́lẹ̀ nínú ìṣètò dípò gbígbẹ́kẹ̀ lé àwọn iye àkọ́kọ́. Ìtò tí ó dúró ṣinṣin tún mú kí ìfiwéra àkọsílẹ̀ láàárín àwọn ojú-ọ̀nà ní ìtumọ̀.

Àwọn pápá wo ni ó jẹ́ ti àbá wo

Àkójọ àwọn pápá kò tóbi, ṣùgbọ́n kò jẹ́ bákan náà nínú ìjíròrò méjèèjì. Ka tábìlì ní ìlà kọ̀ọ̀kan, nítorí pápá kan nínú ọ̀wọ̀n kan lè máà sí nínú èkejì. Ìṣètò gbólóhùn yàtọ̀ sí i nípa ìmúṣẹ; ìwé àwọn àbá strongSwan jẹ́ ìtọ́kasí kan tí ó ṣe kedere.

Pápá ìkọ̀kọ̀ ń dárúkọ ẹ̀rọ ìkọ̀kọ̀ àti, nínú ọ̀pọ̀ ìṣètò gbólóhùn, gígùn kọ́kọ́rọ́ rẹ̀. Pápá àìlábàwọ́n ń dárúkọ hash tí a ń lò láti fi jẹ́rìí àkọ́kọ́ tí a kọ̀, PRF sì ń dárúkọ iṣẹ́ tí ń yọ ohun èlò kọ́kọ́rọ́ jáde fún IKE SA. Ẹgbẹ́ DH ń gbé ohun èlò àṣírí tuntun tí a pín jáde kalẹ̀, nítorí náà ó ń farahàn ní ẹ̀gbẹ́ méjèèjì ṣùgbọ́n fún àwọn èròjà ọ̀tọ̀ọ̀tọ̀.

Àwọn nọ́mbà ìtẹ̀lẹ́sẹẹsẹ tí a gbòòrò jẹ́ ti ipa ọ̀nà dátà nìkan. Wọ́n ń gbòòrò ààyè ìtẹ̀lẹ́sẹẹsẹ, a sì ń dúnàádúrà wọn gẹ́gẹ́ bí apá kan àbá CHILD, nítorí náà àìbáramu níbẹ̀ ń kọ ìdíyelé CHILD nígbà tí IKE SA yóò dúró láìfọwọ́ kàn.

Báwo ni a ṣe ń yan ìdíyelé kan pípé

Àbá kọ̀ọ̀kan jẹ́ àkójọ, olùdáhùn sì ń wá àkójọ tí gbogbo pápá tí ó pọn dandan yóò jẹ́ ìtẹ́wọ́gbà. Àwọn àkọsílẹ̀ méjì lè ní AES àti SHA-256 pẹ̀lú, tí wọn kò sì ní àkọsílẹ̀ tí ó báramu, nítorí gígùn kọ́kọ́rọ́, PRF tàbí ẹgbẹ́ DH yàtọ̀. Ìfiwéra ń ṣẹlẹ̀ fún àbá kọ̀ọ̀kan, kì í ṣe fún alugorídìmù kọ̀ọ̀kan.

Tí kò bá sí ohun tí ó báramu, olùdáhùn ń fi NO_PROPOSAL_CHOSEN ránṣẹ́ pẹ̀lú irú SA tí ó kùnà. Ka àkọsílẹ̀ àbá tí ìkéde náà ń tọ́ka sí kí o tó ṣàtúnṣe ìṣètò; yíyí alugorídìmù ESP padà nígbà tí a kọ àbá IKE yóò fi ìyípo àtúnṣe kan ṣòfọ́.

Ó yẹ kí a mọ ìhùwàsí yíyàn nígbà tí o bá ń tún àkójọlérí ṣe. Àwọn ìmúṣẹ kan fẹ́ ìtò olùbẹ̀rẹ̀, àwọn mìíràn ń tún ṣe lẹ́sẹẹsẹ gẹ́gẹ́ bí ìlànà àdúgbò, nítorí náà àkójọ tí ń ṣiṣẹ́ láàárín àwọn olùpèsè méjì lè pàdánù nígbà tí o bá yí ẹ̀gbẹ́ tí ń bẹ̀rẹ̀ ìsopọ̀ padà.

AEAD ń yọ pápá kúrò dípò fífi ọ̀kan kún

AES-GCM àti ChaCha20-Poly1305 ń jẹ́rìí àti ń kọ̀ ní ìṣiṣẹ́ kan. Nígbà tí a bá yan ọ̀kan nínú wọn fún ESP, a kò dúnàádúrà alugorídìmù àìlábàwọ́n lọ́tọ̀, nítorí ìkọ́lé AEAD ti bo ó tẹ́lẹ̀. Nítorí náà àbá tí ó so AES-GCM pọ̀ mọ́ SHA-256 jẹ́ àfikún ní ipò tí ó dára jù, a sì kọ̀ ọ́ ní ipò tí ó burú jù.

PRF ṣì wà lọ́tọ̀ ní ẹ̀gbẹ́ IKE, nítorí ó ń yọ kọ́kọ́rọ́ jáde fún ikanni ìṣàkóso dípò dáàbò bo àwọn ẹrù. Ìdí niyẹn tí àbá IKE fi lè so ẹ̀rọ ìkọ̀ AEAD pọ̀ mọ́ PRF àti ẹgbẹ́ DH lẹ́tọ̀ọ́, nígbà tí àbá ESP tí ó bá a mu ń ṣe àkọsílẹ̀ ẹ̀rọ ìkọ̀ AEAD àti ẹgbẹ́ PFS àṣàyàn nìkan.

Gígùn kọ́kọ́rọ́ jẹ́ apá kan tọ́kẹ̀nì ìkọ̀, nítorí náà AES-128-GCM àti AES-256-GCM jẹ́ àwọn ìdíyelé ọ̀tọ̀ọ̀tọ̀. Àkójọlérí tí a dà sílẹ̀ láti ìtọ́sọ́nà tí ó ro kọ́kọ́rọ́ 256-bit kò ní báramu pẹ̀lú ojú-ìparí tí a ṣètò fún 128-bit, bí àwọn ìlà méjèèjì tilẹ̀ sọ AES-GCM. Àwọn ẹ̀gbẹ́ méjì lè fohùn ṣọ̀kan lórí ẹbí ẹ̀rọ ìkọ̀, tí wọ́n sì ṣì lè kọ ara wọn nítorí nọ́mbà tí ó wà lẹ́yìn ìlà ìsọ̀rí.

Ka SA tí a ti fi sórí ẹ̀rọ, kì í ṣe ìṣètò

Àkọsílẹ̀ àbá tí a ṣètò jẹ́ ìdíyelé; SA tí a fi sórí ẹ̀rọ ni àbájáde. Lórí strongSwan àti kérnẹ́lì Linux, àwọn ojú wo méjèèjì wà:

sudo swanctl --list-sas
sudo ip xfrm state
sudo ip xfrm policy

swanctl --list-sas ń tẹ àwọn alugorídìmù tí a dúnàádúrà jáde fún SA kọ̀ọ̀kan, pẹ̀lú bóyá CHILD ń lo AEAD. ip xfrm state ń fi hàn ohun tí kérnẹ́lì fi sórí ẹ̀rọ ní ti gidi, àti níbẹ̀ ni a ti ń jẹ́rìí pé ìsọdọ̀tun kọ́kọ́rọ́ kò padà sí àkójọ mìíràn ju èyí tí o kọ sílẹ̀.

Fi àbájáde yẹn pamọ́ lẹ́gbẹ̀ẹ́ ìṣètò lẹ́yìn àtúnṣe. Nígbà tí ìmúdójúìwọ̀n alábàárà bá yí àwọn iye àkọ́kọ́ rẹ̀ padà, àkójọ tí a kọ sílẹ̀ ń fún ọ ní ìpìlẹ̀ ìfiwéra, ìfiwéra sì ń tọ́ka sí pápá tí ó gbé lọ dípò bíbẹ̀rẹ̀ ìwádìí lẹ́ẹ̀kan sí i.