Planiranje privatnog pristupa preko dvojnog steka IKEv2 sa strongSwan

Tunel s dvojnim stekom nije jedna odluka nego tri, i na njih se može odgovoriti različito. Kojom familijom ide vanjski tunel, koje familije klijent dobija unutra i na kojim familijama zaštićene usluge zaista odgovaraju. Dizajn koji ih tretira kao jedan izbor ili nosi IPv6 koji nikada nije bio potreban, ili dijeli adrese koje ništa ne može usmjeriti natrag. Razdvojite te tri i ostatak konfiguracije postaje gotovo mehanički.

Tri vrste adresa, odlučene odvojeno

Vanjski je adres ono kako dva pristupnika dolaze jedan do drugoga, i može biti IPv4 dok unutrašnji saobraćaj nosi obje familije. Unutrašnja virtualna adresa je identitet klijenta unutar tunela, i svakoj familiji treba vlastiti bazen. Zaštićeni prefiksi su ono do čega klijent smije doći, i pripadaju uslugama, a ne tunelu. Miješanje trećega s drugim uzrokuje većinu grešaka u planiranju, jer oboje izgleda kao privatni raspon.

Vanjski transport samo preko IPv4 sa unutrašnjim saobraćajem dvojnog steka normalan je i dobro podržan raspored.

Odlučite svaku izričito i zapišite odluke. Ako je vanjska putanja samo IPv4, recite to i prestanite brinuti o dostupnosti krajnjih tačaka preko IPv6. Ako je familija dodijeljena unutra, ali ništa na njoj ne odgovara, ili je uklonite iz plana, ili te usluge učinite zaista dvojnim stekom.

Dodijelite virtualnu adresu u svakoj familiji

U swanctl konfiguraciji klijent traži virtualne adrese, a zamjenski znak u svakoj familiji traži od odgovarača da dodijeli po jednu iz svake. Odgovarač ih uzima iz bazena, a bazeni su odvojeni objekti od mreža iza pristupnika. Držite ih odvojenim i u planu, jer bazen koji se preklapa s prefiksom usluge stvara usmjeravanje koje izgleda ispravno sve do trenutka kada saobraćaj sleti negdje nenamjerno.

Tražite obje familije kada vam trebaju obje, a jednu kada vam ne treba, jer neiskorištena adresa je površina politike bez koristi. Konkretan zahtjev je zahtjev, a ne rezervacija, i odgovarač može vratiti drugu vrijednost prema vlastitoj politici. Taj detalj je važan gdje je adresa čvrsto upisana u pravilo vatrozida ili u provjeru nadzora. Pozivajte se na bazene po imenu u vezi i držite mreže usluga izvan njih.

vips = 0.0.0.0, ::

Napravite vlastiti jedinstveni lokalni prefiks za IPv6 bazen umjesto da preuzmete kratku primjer-vrijednost. Primjer pokazuje oblik postavke, a ne zadanu vrijednost za nasljeđivanje.

Opišite odredišta odvojeno od bazena

Selektori saobraćaja opisuju šta svaka strana očekuje da razmijeni, pa lokalni selektori pristupnika treba da imenuju zaštićene prefikse usluga, a ne klijentske bazene. Udaljeni selektori klijenta odražavaju tu namjeru. Kada dva spiska opisuju različite objekte, tunel može oživjeti i ipak ne nositi ništa korisno.

Ti isti prefiksi trebaju povratne rute i dozvoljeno prosljeđivanje unutar mreže pristupnika, za svaku familiju koju omogućite.

Tu privatni plan IPv6 prestaje biti dovoljan. Jedinstveno lokalno adresiranje daje privatnu dostupnost i ne stvara javni izlaz IPv6, pa će dizajn koji pretpostavlja da će nenumerisana familija jednostavno slijediti pravila maskiranja IPv4 razočarati svoje korisnike. Ako je javni pristup IPv6 dio zahtjeva, treba mu usmjereni plan i uzvodni tok koji se s njim slaže. U suprotnom jasno recite da je strana IPv6 samo privatna, što je iskrena granica, a ne ograničenje koje treba skrivati.

Učinite DNS i povratne putanje namjernim

Razrješavanje imena ne slijedi transport. Razrješivač može vratiti A i AAAA zapise kroz tunel samo s IPv4, a klijent će tada pokušati familiju za koju nikada niste planirali. Odlučite koja imena usluga trebaju nositi upotrebljive odgovore dvojnog steka i učinite oba ta puta namjernim. Ime koje se razrješava u familiju bez radne putanje stvara zastoj, a ne čistu grešku, a zastoje je mnogo teže dijagnostikovati.

Dokumentujte dostupnost vanjske krajnje tačke odvojeno, uključujući da li je u igri ikakvo NAT prolaženje i koju familiju koristi.

Zatim napišite plan u šest redova: vanjska krajnja tačka, IPv4 bazen, IPv6 bazen, prefiks usluge IPv4, prefiks usluge IPv6, i usmjerivač koji posjeduje odgovore za svaki. Plan tog oblika odgovara na pitanja koja operater zaista postavlja u tri sata ujutro. Sve kraće ostavlja dvojni stek kao drugu adresu prikovanu na politiku samo IPv4, i tako obično završi kao polovično radi.