strongSwan vips: hoe om IKEv2 om 'n virtuele adres te vra

vips vra 'n innerlike IKEv2-adres aan; die gateway besluit wat om toe te staan. Stel die versoek op, laai dit, en verifieer dan wat die responder werklik toegeken het.

Jou IKEv2-kliënt kan die gateway om 'n innerlike adres vra, en die gateway besluit wat om terug te gee. In strongSwan is daardie versoek die vips-instelling, en dit bly 'n versoek selfs wanneer jy 'n spesifieke adres daarin skryf. Die runbook hieronder stel die versoek op, laai dit en lees wat teruggekom het, want daardie drie stappe faal op drie verskillende maniere. Geen van hulle word korter deur harder te tik nie.

Waarvoor vips vra, en wat dit nie kan belowe nie

vips hoort binne 'n verbindingsdefinisie en vra die responder om 'n virtuele adres. strongSwan se gids vir virtuele adresse sê uitdruklik dat die antwoord 'n ander adres kan wees, of glad niks nie, en dit is die sin wat mense oorslaan wanneer hulle 'n waarde skryf en verwag dat dit moet verskyn. Die versoek is steeds die moeite werd, want die antwoord is wat jy verifieer. Behandel die instelling as 'n opdrag om te vra, nie as die konfigurasie van die uitkoms nie.

Om 0.0.0.0 te vra, vra vir enige beskikbare IPv4 virtuele adres, wat gewoonlik reg is wanneer die presiese waarde nie saak maak nie. Om 'n spesifieke adres te vra, is 'n wenk aan die gateway, nie 'n eis aan hom nie.

Die swanctl-fragment en waar dit hoort

Die instelling sit binne die verbindingsblok, nie in sy eie lêer nie en nie in 'n bedryfstelselprofiel nie. Hierdie geïsoleerde fragment wys die vorm:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Laai dit met die lêer wat die verbinding besit, begin dan die verbinding en lees die resultaat. 'n Fragment wat in die verkeerde afdeling geplak is, lewer 'n ontledingsfout of, erger, 'n verbinding wat laai sonder die versoek wat jy gedink het jy gemaak het. Voer die drie opdragte in volgorde uit en hou die uitvoer.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts kies verkeer, dit skep nie 'n adres nie

local_ts noem die stel verkeer wat die kind-SA beskerm; dit plaas nie 'n adres op 'n koppelvlak nie. Sodra 'n virtuele IP beding is, hou strongSwan op om sy verstek dinamiese keurder te gebruik en gebruik eerder die toegekende adres. Pen die keurder aan 'n letterlike adres vas, en jy beweer iets wat die gateway dalk nie toegeken het nie, en daarom wys die fout as 'n werkende SA met verkeer wat nêrens heen gaan nie. Die keurder beskryf verkeer, terwyl die toewysing uit die ander uitruiling kom.

Die ander manier om 'n stabiele innerlike adres te kry, is om dit plaaslik te besit. Sit die adres op 'n koppelvlak voordat die tonnel opkom, rig die keurder op wat reeds bestaan, en reël die eweknie en die roete daarom.

Niks word in daardie ontwerp beding nie, so niks kan hertoegewys word nie, en dit is die ruil: determinisme in ruil daarvoor dat jy die adressering self doen. Dit is 'n ander meganisme, nie 'n variant van vips nie, en daarom moet die twee nie in een verbinding gemeng word nie. 'n Vasgepende keurder langs 'n bedonge adres is 'n verbinding wat werk totdat die gateway iets anders uitdeel.

Verifieer wat die responder werklik toegeken het

Lees die SA-lys vir die adres wat die gateway toegeken het, en bevestig dan dat die adres op die koppelvlak bestaan. As die twee nie ooreenstem nie, is die tonnel op en gaan die verkeer nie waar jy dink nie. 'n Toegekende adres wat nooit die koppelvlak bereik nie, is die verwarrendste fout in hierdie volgorde, want elke helfte lyk op sigself korrek.

Hou vier adresse apart in jou notas: die versoekte innerlike adres, die toegekende een, die masjien se LAN-adres en die publieke uitgang wat 'n webwerf rapporteer. Hulle behoort aan verskillende lae en verskyn op verskillende plekke. 'n Runbook wat al vier aanteken, is een wat iemand anders kan volg sonder om te vra watter adres jy bedoel het. Lees hulle terug ná elke herlaai, want die toegekende waarde is die enigste een wat die lewende tonnel beskryf.

Hou die statiese ontwerp apart

As jy 'n vaste innerlike adres nodig het, reël die bespreking op die gateway en laat die kliënt se versoek 'n versoek bly. Om 'n vasgepende keurder met 'n bedonge adres te meng, gee 'n verbinding wat werk totdat die gateway iets anders toeken. Skryf die besprekingsreël langs die verbinding neer, want dit is die deel wat 'n kollega nie uit die konfigurasielêer kan aflei nie. Dan erf 'n nuwe kliënt die reël in plaas daarvan om dit weer te ontdek.

Op die ingeboude Mac-kliënt bestaan nie een van hierdie opsiename nie. Gebruik watter toewysing of bespreking die gateway ook al bied en die profiel wat die operateur publiseer, en behandel enige kliëntkantwaarde as 'n wenk totdat jy die toewysing teruggelees het. Terugrol is om die vips-lyn te verwyder en te herlaai, wat jou terugbring na wat die gateway by verstek toeken.

Verwante artikels