Profaili WireGuard fún ẹnu-ọ̀nà IPsec: kí ni kí o béèrè ní ààtò

Àkókò ìfọwọ́sowọ́pọ̀ tí ó ń parí pẹ̀lú ẹnu-ọ̀nà tí ó dákẹ́ máa ń túmọ̀ sí ìlànà méjì tí kì í pàdé rárá. Oníbàárà WireGuard ń sọ Noise nígbà tí ẹnu-ọ̀nà IPsec ń dúró de IKE. Àdírẹ́sì àti póòtù tí ó tọ́ kò yí ìyẹn padà.

Lílo ibi-ìparí lẹ́ẹ̀kan sí i nínú profaili kò so àwọn méjèèjì pọ̀. Ìgbésẹ̀ tí ó tẹ̀le ni ìbéèrè sí ẹni tí ń darí ẹnu-ọ̀nà.

Ìbéèrè kìíní: ẹ̀yà ìlànà

IPsec ń dárúkọ ìdílé kan, kì í ṣe ọ̀nà iṣẹ́ kan ṣoṣo. IKEv2 àti IKEv1 yàtọ̀ nínú àwọn ìpàṣípàrọ̀ wọn, àwọn àṣàyàn ìjẹ́rìí wọn àti ìhùwàsí wọn nígbà tí nẹ́tíwọ́kì bá yí padà. Ẹnu-ọ̀nà tí ń parí IKEv1 nìkan yóò hùwà yàtọ̀ pátápátá sí ẹni tí ń pèsè IKEv2. Ìṣètò oníbàárà náà yóò yí pẹ̀lú rẹ̀.

Béèrè ẹ̀yà wo ni iṣẹ́ náà ń parí àti bóyá ó ń ṣiṣẹ́ ìmúṣẹ tí ó dá lórí àwọn ìlànà tàbí ẹ̀yà olùpèsè pẹ̀lú oníbàárà tirẹ̀. Àwọn àkójọ àṣàyàn ẹ̀rọ ìṣiṣẹ́ máa ń fi ìdáhùn yẹn pamọ́ sẹ́yìn àmì kan. Àmì náà kì í ṣe ìlànà.

Ìbéèrè kejì: ọ̀nà ìjẹ́rìí oníbàárà

Ìjẹ́rìí ni ibi tí ọ̀pọ̀ jùlọ iṣẹ́ gidi wà. Iṣẹ́ náà lè retí ẹ̀rí ẹ̀rọ pẹ̀lú ìlò kọ́kọ́rọ́ tí ó gbòòrò kan, ẹ̀rí olùmúlò, ọ̀nà EAP lórí IKEv2 tàbí kọ́kọ́rọ́ tí a pín tẹ́lẹ̀ tí ó so mọ́ ìdánimọ̀ kan. Èyí tí ó bá kan ni yóò pinnu ohun tí oníbàárà nílò.

Kọ́kọ́rọ́ àṣírí WireGuard kì í ṣe ọ̀kan nínú àwọn wọ̀nyí. Ó jẹ́ kọ́kọ́rọ́ Curve25519 tí a ń lò nínú ìfọwọ́sowọ́pọ̀ kan pàtó. Kò sí ìyípádà tí yóò sọ ọ́ di ẹ̀rí tàbí ẹ̀rí-ìdánimọ̀ EAP. Irinṣẹ́ tí ó sọ ìdàkejì ń yí orúkọ fáìlì padà tàbí ń dá nǹkan tí kò ní ìsopọ̀.

Àpèjúwe IKEv2 nínú RFC 7296 ṣàlàyé ohun tí ìmúṣẹ ẹ̀yà yẹn gbọ́dọ̀ ṣe àtìlẹ́yìn fún. Ó jẹ́ ìtọ́kasí fún ìdáhùn tí kò ṣe kedere láti ọ̀dọ̀ olùṣiṣẹ́, kì í ṣe ìtọ́sọ́nà ìṣètò oníbàárà.

Ìbéèrè kẹta: ìdánimọ̀ tí ó ṣeé gbẹ́kẹ̀lé àti àwọn ibi-ìlọ́wọ́

Béèrè ìdánimọ̀ ẹnu-ọ̀nà ní ọ̀nà tí oníbàárà gbọ́dọ̀ rí i, pẹ̀lú ìfarapa ìgbẹ́kẹ̀lé tí ó ń jẹ́rìí rẹ̀. Lẹ́yìn náà béèrè àwọn ìwọ̀n àdáni àti aṣèwádìí wo ni iṣẹ́ náà ń tì. Àwọn ìdáhùn méjèèjì yẹn ni yóò pinnu ohun tí ọ̀nà-ìsàlẹ̀ ń gbé ní ti gidi.

Láìsí wọn, ìsopọ̀ tí ń ṣiṣẹ́ ṣì lè kùnà iṣẹ́ náà. Ọ̀nà-ìsàlẹ̀ tí ó dìde láìsí aṣèwádìí tí a tì yóò fi àwọn orúkọ inú sílẹ̀ láìsí ìdáhùn. Olùyàn ìrìnàjò tí ó sọnù yóò fi ibi-ìlọ́wọ́ sílẹ̀ ní òde ọ̀nà-ìsàlẹ̀ bí ó tilẹ̀ jẹ́ pé ìfọwọ́sowọ́pọ̀ ṣàṣeyọrí.

Ìwádìí ibi-ìparí ń dáhùn ìbéèrè tí ó yàtọ̀ sí àṣìṣe oníbàárà. Póòtù tí ó ṣeé dé láìsí ìsopọ̀ ń tọ́ka sí ìjẹ́rìí, nígbà tí póòtù tí kò ṣeé dé ń tọ́ka sí ọ̀nà.

# what does the endpoint offer on its IPsec ports?
sudo nmap -sU -p 500,4500 198.51.100.44

# strongSwan: what did the IKE exchange negotiate?
sudo swanctl --list-sas
sudo swanctl --list-conns

Ṣe ìwádìí yẹn kí o tó yí ohunkóhun padà nínú oníbàárà. Bí àwọn póòtù bá dáhùn tí ìsopọ̀ ṣì ń kùnà, ìṣòro wà nínú àwọn ẹ̀rí tàbí ìlànà. Bí wọn kò bá dáhùn rárá, kò sí àtúnṣe profaili tí yóò ràn ọ́ lọ́wọ́.

Nígbà tí àwọn ìlànà méjèèjì gbọ́dọ̀ wà pọ̀

Ṣíṣe àkóso àwọn nẹ́tíwọ́kì méjèèjì jẹ́ ìdí tí ó tọ́ láti pa àwọn ìlànà méjèèjì mọ́. Àpẹẹrẹ àṣà ń parí WireGuard àti IPsec lórí àwọn ìkànnì lọ́tọ̀ tàbí ẹnu-ọ̀nà lọ́tọ̀. Lẹ́yìn náà ni a ń darí ìrìnàjò tí a fọwọ́ sí láàárín wọn.

Àpẹẹrẹ yẹn ń mú ààlà ìgbẹ́kẹ̀lé àti àṣẹ wá, a sì gbọ́dọ̀ kọ ọ́ sílẹ̀ bẹ́ẹ̀. Àwọn ẹgbẹ́ wo lè kọjá, sí ọ̀nà wo àti lábẹ́ ìlànà ta ni ìpinnu ìdarí àti odi-iná. Kò sí ìlànà tí ó ń pèsè rẹ̀.

Ohun tí kì í ṣe ni ìyípádà tí ó ṣe kedere. Ìrìnàjò tí ó dé nípasẹ̀ WireGuard ni a tún dá sínú ọ̀nà-ìsàlẹ̀ IPsec, gbogbo ìlànà tí ó wà láàárín sì kan òun.

Kọ́kọ́ ṣàlàyé àwọn ohun tí sẹ́bà nílò fún ìlànà àti ìjẹ́rìí. Lẹ́yìn náà lo oníbàárà àti ọ̀nà ìforúkọsílẹ̀ tí olùṣiṣẹ́ ń ṣe àtìlẹ́yìn fún, kí o sì pa àwọn kọ́kọ́rọ́ àṣírí mọ́ ọ̀nà kúrò lọ́dọ̀ àwọn olùyípadà wẹ́ẹ̀bù nígbà yẹn.