strongSwan vips: IKEv2-dən virtual ünvan istəmək

vips daxili IKEv2 ünvanı istəyir; nə veriləcəyinə şlüz qərar verir. Sorğunu qur, yüklə, sonra cavabdehin həqiqətən nə təyin etdiyini yoxla.

IKEv2 müştəriniz şlüzdən daxili ünvan istəyə bilər və şlüz nə qaytaracağına özü qərar verir. strongSwan-da bu sorğu vips parametridir və ora konkret ünvan yazsanız belə, o, sorğu olaraq qalır. Aşağıdakı runbook sorğunu qurur, onu yükləyir və geri gələni oxuyur, çünki bu üç addım üç fərqli şəkildə uğursuz olur. Heç biri daha sərt yazmaqla qısalmır.

vips nə istəyir və nəyə zəmanət verə bilməz

vips əlaqə tərifinin içində yerləşir və cavabdehdən virtual ünvan istəyir. strongSwan-un virtual ünvan bələdçisi cavabın başqa ünvan, ya da heç nə ola biləcəyini açıq deyir; insanlar dəyər yazıb onun görünəcəyini gözləyəndə məhz bu cümləni ötürürlər. Sorğu yenə də etməyə dəyər, çünki yoxladığınız şey cavabdır. Parametrə nəticənin konfiqurasiyası kimi deyil, soruşma tapşırığı kimi baxın.

0.0.0.0 istəmək mövcud istənilən IPv4 virtual ünvanını istəmək deməkdir və dəqiq dəyər vacib olmadıqda bu, adətən düzgündür. Konkret ünvan istəmək şlüzə bir işarədir, ona qarşı bir tələb deyil.

swanctl fraqmenti və onun yeri

Parametr əlaqə blokunun içində oturur, nə öz faylında, nə də əməliyyat sistemi profilində. Bu təcrid olunmuş fraqment formanı göstərir:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Onu əlaqəyə sahib faylla yükləyin, sonra əlaqəni başladın və nəticəni oxuyun. Səhv bölməyə yapışdırılmış fraqment parse xətası verir və ya daha pis, etdiyinizi düşündüyünüz sorğu olmadan yüklənən əlaqə yaradır. Üç əmri ardıcıllıqla işə salın və çıxışı saxlayın.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts trafiki seçir, ünvan yaratmır

local_ts alt SA-nın qoruduğu trafik çoxluğunu adlandırır; o, interfeysə ünvan qoymur. Virtual IP razılaşdırıldıqdan sonra strongSwan defolt dinamik selektorunu işlətməyi dayandırır və əvəzinə verilmiş ünvanı istifadə edir. Selektoru hərfi ünvana bağlasanız, şlüzün verməmiş ola biləcəyi bir şeyi təsdiqləmiş olursunuz; buna görə nasazlıq trafiki heç yerə getməyən işlək SA kimi görünür. Selektor trafiki təsvir edir, təyinat isə digər mübadilədən gəlir.

Sabit daxili ünvan əldə etməyin digər yolu ona lokal olaraq sahib olmaqdır. Tunel qalxmazdan əvvəl ünvanı interfeysə qoyun, selektoru artıq mövcud olana yönəldin və peer ilə marşrutu ona uyğun təşkil edin.

Bu dizaynda heç nə razılaşdırılmır, ona görə heç nə yenidən təyin edilə bilməz və mübadilə budur: ünvanlama işini özünüz görmək müqabilində determinizm. Bu, vips-in variantı deyil, fərqli mexanizmdir; buna görə ikisi bir əlaqədə qarışdırılmamalıdır. Razılaşdırılmış ünvanın yanında bərkidilmiş selektor, şlüz başqa bir şey paylayana qədər işləyən əlaqədir.

Cavabdehin həqiqətən nə təyin etdiyini yoxlayın

Şlüzün verdiyi ünvan üçün SA siyahısını oxuyun, sonra ünvanın interfeysdə mövcud olduğunu təsdiqləyin. İkisi uyğun gəlmirsə, tunel qalxıb və trafik düşündüyünüz yerə getmir. İnterfeysə heç vaxt çatmayan verilmiş ünvan bu ardıcıllıqdakı ən çaşdırıcı nasazlıqdır, çünki hər yarısı təkbaşına düzgün görünür.

Qeydlərinizdə dörd ünvanı ayrı saxlayın: istənilən daxili ünvan, verilmiş ünvan, maşının LAN ünvanı və hansısa vebsaytın bildirdiyi ictimai çıxış. Onlar fərqli qatlara aiddir və fərqli yerlərdə görünür. Dördünü də qeyd edən runbook, başqasının hansı ünvanı nəzərdə tutduğunuzu soruşmadan izləyə biləcəyi runbookdur. Hər yenidən yükləmədən sonra onları yenidən oxuyun, çünki verilmiş dəyər canlı tuneli təsvir edən yeganə dəyərdir.

Statik dizaynı ayrı saxlayın

Sabit daxili ünvana ehtiyacınız varsa, rezervasiyanı şlüzdə təşkil edin və müştəri sorğusunu sorğu olaraq buraxın. Bərkidilmiş selektoru razılaşdırılmış ünvanla qarışdırmaq, şlüz başqa bir şey təyin edənə qədər işləyən əlaqə verir. Rezervasiya qaydasını əlaqənin yanında yazın, çünki bu, həmkarınızın konfiqurasiya faylından çıxara bilmədiyi hissədir. Sonra yeni müştəri qaydanı yenidən kəşf etmək əvəzinə miras alır.

Daxili Mac müştərisində bu seçim adlarından heç biri yoxdur. Şlüzün təklif etdiyi təyinat və ya rezervasiyadan və operatorun yayımladığı profildən istifadə edin, təyinatı geri oxuyana qədər müştəri tərəfindəki hər hansı dəyərə işarə kimi baxın. Geri qaytarma vips sətrini silib yenidən yükləməkdir və bu, sizi şlüzün defolt olaraq təyin etdiyi vəziyyətə qaytarır.

Əlaqəli məqalələr