strongSwan ilə ikiqat yığımlı IKEv2 özəl girişinin planlaşdırılması

İkiqat yığımlı tunel bir qərar deyil, üç qərardır və onlara fərqli cavablar verilə bilər. Xarici tunelin hansı ailə üzərində işlədiyi, müştərinin içəridə hansı ailələri aldığı və qorunan xidmətlərin həqiqətən hansı ailələr üzərində cavab verdiyi. Onları tək seçim kimi qəbul edən dizayn ya heç vaxt lazım olmayan IPv6 daşıyır, ya da heç bir şeyin geri marşrutlaşdıra bilmədiyi ünvanlar paylayır. Üçünü ayırın və konfiqurasiyanın qalan hissəsi demək olar ki, mexaniki olur.

Üç növ ünvan, ayrı-ayrılıqda qərar verilir

Xarici ünvan iki şlüzün bir-birinə necə çatdığıdır və daxili trafik hər iki ailəni daşıyarkən o, IPv4 ola bilər. Daxili virtual ünvan müştərinin tunel daxilindəki kimliyidir və hər ailənin öz hovuzu lazımdır. Qorunan prefikslər müştərinin çata bildiyi şeylərdir və onlar tunelə deyil, xidmətlərə aiddir. Üçüncünü ikinci ilə qarışdırmaq planlaşdırma səhvlərinin çoxuna səbəb olur, çünki hər ikisi özəl aralıq kimi görünür.

Yalnız IPv4 xarici nəqliyyatla ikiqat yığımlı daxili trafik normal və yaxşı dəstəklənən bir quruluşdur.

Hər birini açıq şəkildə qərarlaşdırın və qərarları yazın. Xarici yol yalnız IPv4-dürsə, bunu deyin və IPv6 son nöqtə əlçatanlığı üçün narahat olmağı dayandırın. İçəridə bir ailə təyin edilibsə, lakin ona heç nə cavab vermirsə, ya onu plandan çıxarın, ya da o xidmətləri həqiqətən ikiqat yığımlı edin.

Hər ailədə virtual ünvan ayırın

swanctl konfiqurasiyasında müştəri virtual ünvanlar istəyir və hər ailədəki vəhşi kart cavab verəndən hər ailədən birini təyin etməsini xahiş edir. Cavab verən onları hovuzlardan götürür və hovuzlar şlüzün arxasındakı şəbəkələrdən ayrı obyektlərdir. Onları planda da ayrı saxlayın, çünki xidmət prefiksi ilə üst-üstə düşən hovuz trafik nəzərdə tutulmayan yerə düşən ana qədər düzgün görünən marşrutlaşdırma yaradır.

Hər ikisinə ehtiyacınız olduqda hər iki ailəni istəyin, ehtiyac olmadıqda birini istəyin, çünki istifadə olunmayan ünvan faydası olmayan siyasət səthidir. Konkret sorğu rezervasiya deyil, sorğudur və cavab verən öz siyasəti çərçivəsində fərqli dəyər qaytara bilər. Bu detal ünvanın güclük divarı qaydasına və ya monitorinq yoxlamasına sərt kodlandığı hər yerdə vacibdir. Bağlantıda hovuzlara adla istinad edin və xidmət şəbəkələrini onlardan kənarda saxlayın.

vips = 0.0.0.0, ::

Qısa nümunə dəyərini mənimsəmək əvəzinə IPv6 hovuzu üçün öz unikal-yerli prefiksinizi yaradın. Nümunə parametrin formasını göstərir, miras alınacaq standart dəyəri deyil.

Təyinatları hovuzlardan ayrı təsvir edin

Trafik seçiciləri hər tərəfin mübadilə etməyi gözlədiyini təsvir edir, buna görə şlüzün yerli seçiciləri müştəri hovuzlarını deyil, qorunan xidmət prefikslərini adlandırmalıdır. Müştərinin uzaq seçiciləri bu niyyəti əks etdirir. İki siyahı fərqli obyektləri təsvir etdikdə tunel qalxa bilər və yenə də faydalı heç nə daşımaz.

Həmin prefikslər şlüzün şəbəkəsi daxilində, aktivləşdirdiyiniz hər ailə üçün geri marşrutlara və icazə verilmiş yönləndirməyə ehtiyac duyur.

Özəl IPv6 planının kifayət etməyi dayandırdığı yer budur. Unikal-yerli ünvanlama özəl əlçatanlıq qazandırır və ictimai IPv6 çıxışı yaratmır, buna görə nömrəsiz ailənin sadəcə IPv4 maskalama qaydalarına tabe olacağını güman edən dizayn istifadəçilərini məyus edəcək. İctimai IPv6 girişi tələbin bir hissəsidirsə, ona marşrutlaşdırılmış plan və bununla razılaşan yuxarı axın lazımdır. Əks halda, IPv6 tərəfinin yalnız özəl olduğunu açıq deyin, bu gizlədiləcək məhdudiyyət deyil, dürüst sərhəddir.

DNS və geri yolları qəsdən edin

Ad həlli nəqliyyata tabe olmur. Həlledici yalnız IPv4 tuneldən A və AAAA qeydləri qaytara bilər və müştəri sonra heç planlaşdırmadığınız bir ailəni sınayacaq. Hansı xidmət adlarının işlək ikiqat yığımlı cavablar daşımalı olduğunu qərarlaşdırın və həmin iki yolu qəsdən edin. İşlək yolu olmayan ailəyə həll olunan ad təmiz xəta deyil, dayanma yaradır və dayanmaları diaqnostika etmək qat-qat çətindir.

Xarici son nöqtənin əlçatanlığını ayrıca sənədləşdirin, o cümlədən hər hansı NAT keçidinin olub-olmadığını və hansı ailədən istifadə etdiyini.

Sonra planı altı sətirdə yazın: xarici son nöqtə, IPv4 hovuzu, IPv6 hovuzu, IPv4 xidmət prefiksi, IPv6 xidmət prefiksi və hər biri üçün cavabları sahiblənən marşrutlaşdırıcı. Bu formada plan operatorun gecə üçdə həqiqətən soruşduğu suallara cavab verir. Daha qısası ikiqat yığımı yalnız IPv4 siyasətinə bərkidilmiş ikinci ünvan kimi qoyur və adətən yarımçıq işləməsi belə baş verir.