strongSwan vips: kako tražiti virtualnu adresu od IKEv2

Vaš IKEv2 klijent može tražiti unutrašnju adresu od mrežnog prolaza, a prolaz odlučuje šta će vratiti. U strongSwan-u je taj zahtjev postavka vips i ostaje zahtjev čak i kada u nju upišete konkretnu adresu. Priručnik ispod podešava zahtjev, učitava ga i čita šta se vratilo, jer te tri stepenice padaju na tri različita načina. Nijedna od njih ne postaje kraća koliko god jače tipkali.

Šta vips traži i šta ne može obećati

vips pripada unutar definicije veze i traži virtualnu adresu od odgovarača. strongSwan vodič za virtualne adrese jasno kaže da odgovor može biti druga adresa ili ništa, a to je rečenica koju ljudi preskoče kada upišu vrijednost i očekuju da se pojavi. Zahtjev se ipak isplati poslati, jer ono što provjeravate jeste odgovor. Tretirajte postavku kao uputu da pitate, a ne kao konfiguraciju ishoda.

Zahtjev za 0.0.0.0 traži bilo koju dostupnu IPv4 virtualnu adresu, što je obično ispravno kada tačna vrijednost nije važna. Traženje konkretne adrese je nagovještaj prolazu, a ne zahtjev prema njemu.

swanctl fragment i gdje mu je mjesto

Postavka stoji unutar bloka veze, ne u vlastitoj datoteci i ne u profilu operativnog sistema. Ovaj izolirani fragment pokazuje oblik:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Učitajte ga datotekom koja posjeduje vezu, zatim pokrenite vezu i pročitajte rezultat. Fragment zalijepljen u pogrešan odjeljak daje grešku pri raščlanjivanju ili, još gore, vezu koja se učita bez zahtjeva za koji ste mislili da ste ga poslali. Pokrenite tri naredbe po redu i sačuvajte izlaz.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts bira promet, ne stvara adresu

local_ts imenuje skup prometa koji podređeni SA štiti; on ne stavlja adresu na interfejs. Kada se virtualni IP pregovara, strongSwan prestaje koristiti svoj zadani dinamički selektor i umjesto toga koristi dodijeljenu adresu. Ako selektor prikujete za doslovnu adresu, tvrdite nešto što prolaz možda nije dodijelio, i zato se kvar pojavljuje kao ispravan SA s prometom koji ne ide nikuda. Selektor opisuje promet, dok dodjela dolazi iz druge razmjene.

Drugi način da dobijete stabilnu unutrašnju adresu jeste da je posjedujete lokalno. Stavite adresu na interfejs prije nego se tunel podigne, usmjerite selektor na ono što već postoji i uredite partnera i rutu oko toga.

U tom se dizajnu ništa ne pregovara, pa se ništa ne može preodrediti, i to je razmjena: determinizam u zamjenu za to da sami obavite adresiranje. To je drugačiji mehanizam, a ne varijanta vips-a, zbog čega ih ne treba miješati u jednoj vezi. Prikucan selektor pored pregovorene adrese je veza koja radi dok prolaz ne dodijeli nešto drugo.

Provjerite šta je odgovarač zaista dodijelio

Pročitajte popis SA za adresu koju je prolaz dodijelio, pa potvrdite da adresa postoji na interfejsu. Ako se njih dvoje ne slažu, tunel je podignut, a promet ne ide tamo gdje mislite. Dodijeljena adresa koja nikada ne stigne do interfejsa najzbunjujući je kvar u ovom slijedu, jer svaka polovina naizgled je ispravna sama za sebe.

Držite četiri adrese odvojeno u bilješkama: traženu unutrašnju adresu, dodijeljenu, LAN adresu mašine i javni izlaz koji neka web lokacija prijavi. One pripadaju različitim slojevima i pojavljuju se na različitim mjestima. Priručnik koji bilježi sve četiri jeste onaj koji neko drugi može slijediti bez pitanja na koju adresu ste mislili. Pročitajte ih ponovo nakon svakog ponovnog učitavanja, jer dodijeljena vrijednost je jedina koja opisuje živu vezu.

Držite statični dizajn odvojeno

Ako vam treba fiksna unutrašnja adresa, uredite rezervaciju na prolazu i ostavite zahtjev klijenta kao zahtjev. Miješanje prikucanog selektora s pregovorenom adresom daje vezu koja radi dok prolaz ne dodijeli nešto drugo. Zapišite pravilo rezervacije pored veze, jer to je dio koji kolega ne može zaključiti iz konfiguracijske datoteke. Tada novi klijent nasljeđuje pravilo umjesto da ga ponovo otkriva.

Na ugrađenom Mac klijentu nijedno od ovih imena opcija ne postoji. Koristite bilo koju dodjelu ili rezervaciju koju prolaz nudi i profil koji operater objavljuje, a svaku vrijednost na strani klijenta smatrajte nagovještajem dok ne pročitate dodjelu natrag. Vraćanje znači uklanjanje linije vips i ponovno učitavanje, što vas vraća na ono što prolaz dodjeljuje po zadanom.