Planificar l’accés privat IKEv2 de doble pila amb strongSwan

Un túnel de doble pila no és una decisió sinó tres, i es poden respondre de maneres diferents. Per quina família circula el túnel exterior, quines famílies rep el client a dins i en quines famílies responen realment els serveis protegits. Un disseny que les tracta com una sola opció o bé transporta IPv6 que mai no calia, o bé reparteix adreces que res no pot encaminar de tornada. Separeu les tres i la resta de la configuració esdevé gairebé mecànica.

Tres tipus d’adreça, decidits per separat

L’adreça exterior és com es troben les dues passarel·les, i pot ser IPv4 mentre el trànsit interior transporta les dues famílies. L’adreça virtual interior és la identitat del client dins del túnel, i cada família necessita la seva pròpia agrupació. Els prefixos protegits són allò que el client pot assolir, i pertanyen als serveis, no al túnel. Confondre el tercer amb el segon causa la majoria d’errors de planificació, perquè tots dos semblen rangs privats.

El transport exterior només IPv4 amb trànsit interior de doble pila és una disposició normal i ben suportada.

Decidiu cadascuna explícitament i anoteu les decisions. Si el camí exterior és només IPv4, digueu-ho i deixeu de preocupar-vos per l’abast dels punts finals per IPv6. Si una família s’assigna a dins però res no hi respon, o bé traieu-la del pla o bé feu que aquests serveis siguin realment de doble pila.

Assigneu una adreça virtual a cada família

En una configuració swanctl el client demana adreces virtuals, i un comodí a cada família demana al responedor que n’assigni una de cadascuna. El responedor les treu d’agrupacions, i les agrupacions són objectes separats de les xarxes darrere la passarel·la. Manteniu-les separades també al pla, perquè una agrupació que se solapa amb un prefix de servei produeix encaminament que sembla correcte fins al moment que el trànsit aterra en un lloc no volgut.

Demaneu les dues famílies quan us calen totes dues, i una quan no, perquè una adreça no utilitzada és superfície de política sense benefici. Una petició concreta és una petició, no una reserva, i el responedor pot retornar un valor diferent segons la seva pròpia política. Aquest detall importa allà on una adreça està codificada en una regla de tallafocs o en una comprovació de monitoratge. Referencieu les agrupacions pel nom a la connexió i manteniu les xarxes de serveis fora d’elles.

vips = 0.0.0.0, ::

Genereu el vostre propi prefix local únic per a l’agrupació IPv6 en lloc d’adoptar un valor d’exemple curt. L’exemple mostra la forma del paràmetre, no un valor per defecte a heretar.

Descrigueu les destinacions a part de les agrupacions

Els selectors de trànsit descriuen què espera intercanviar cada costat, així que els selectors locals de la passarel·la han d’anomenar prefixos de serveis protegits i no agrupacions de clients. Els selectors remots del client reflecteixen aquesta intenció. Quan les dues llistes descriuen objectes diferents, el túnel pot aixecar-se i encara no transportar res d’útil.

Aquests mateixos prefixos necessiten rutes de retorn i reenviament permès dins de la xarxa de la passarel·la, per a cada família que habiliteu.

Aquí és on un pla IPv6 privat deixa de ser suficient. L’adreçament local únic compra abast privat i no crea sortida IPv6 pública, així que un disseny que suposa que la família no numerada simplement seguirà les regles d’emmascarament IPv4 decebrà els seus usuaris. Si l’accés IPv6 públic forma part del requisit, necessita un pla encaminat i un proveïdor superior que hi estigui d’acord. En cas contrari, digueu clarament que el costat IPv6 és només privat, cosa que és una frontera honesta i no una limitació a amagar.

Feu intencionats el DNS i els camins de retorn

La resolució de noms no segueix el transport. Un resolutor pot retornar registres A i AAAA per un túnel només IPv4, i el client llavors provarà una família que mai no havíeu planificat. Decidiu quins noms de servei han de portar respostes de doble pila utilitzables i feu intencionats tots dos camins. Un nom que resol a una família sense camí funcional produeix una aturada i no un error net, i les aturades són molt més difícils de diagnosticar.

Documenteu l’abast del punt final exterior per separat, incloent-hi si hi ha cap travessa NAT en joc i quina família utilitza.

Després escriviu el pla en sis línies: punt final exterior, agrupació IPv4, agrupació IPv6, prefix de servei IPv4, prefix de servei IPv6, i l’encaminador que posseeix les respostes de cadascun. Un pla amb aquesta forma respon les preguntes que un operador fa realment a les tres de la matinada. Qualsevol cosa més curta deixa la doble pila com una segona adreça cargolada a una política només IPv4, i així és com sol acabar funcionant a mitges.