strongSwan vips: com demanar una adreça virtual a IKEv2

vips demana una adreça interna a IKEv2; la passarel·la decideix què concedeix. Configura la petició, carrega-la i després verifica què ha assignat realment el responedor.

El teu client IKEv2 pot demanar una adreça interna a la passarel·la, i la passarel·la decideix què retorna. A strongSwan, aquesta petició és el paràmetre vips, i continua sent una petició encara que hi escriguis una adreça concreta. La guia següent configura la petició, la carrega i llegeix què ha tornat, perquè aquests tres passos fallen de tres maneres diferents. Cap d’ells s’escurça per molt que teclegis amb més força.

Què demana vips i què no pot prometre

vips pertany dins d’una definició de connexió i demana una adreça virtual al responedor. La guia d’adreces virtuals de strongSwan diu clarament que la resposta pot ser una altra adreça, o res de res, i aquesta és la frase que la gent s’estalvia quan escriu un valor i espera que aparegui. La petició continua valent la pena, perquè el que verifiques és la resposta. Tracta el paràmetre com una instrucció per preguntar, no com la configuració del resultat.

Demanar 0.0.0.0 vol dir demanar qualsevol adreça virtual IPv4 disponible, cosa que normalment és correcta quan el valor exacte no importa. Demanar una adreça concreta és un suggeriment per a la passarel·la, no una exigència sobre ella.

El fragment swanctl i on va

El paràmetre se situa dins del bloc de connexió, no en un fitxer propi ni en un perfil del sistema operatiu. Aquest fragment aïllat mostra la forma:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Carrega’l amb el fitxer que posseeix la connexió, després inicia la connexió i llegeix el resultat. Un fragment enganxat a la secció equivocada produeix un error d’anàlisi o, pitjor, una connexió que es carrega sense la petició que creies haver fet. Executa les tres ordres en seqüència i guarda la sortida.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts tria trànsit, no crea cap adreça

local_ts anomena el conjunt de trànsit que protegeix la SA filla; no posa cap adreça en una interfície. Un cop negociada una IP virtual, strongSwan deixa d’utilitzar el seu selector dinàmic per defecte i fa servir l’adreça concedida. Si fixes el selector a una adreça literal, estàs afirmant una cosa que la passarel·la potser no ha concedit, i per això la fallada apareix com una SA que funciona amb trànsit que no va enlloc. El selector descriu trànsit, mentre que l’assignació ve de l’altre intercanvi.

L’altra manera d’obtenir una adreça interna estable és posseir-la localment. Posa l’adreça en una interfície abans que pugi el túnel, apunta el selector cap al que ja existeix i organitza el parell i la ruta al voltant d’això.

En aquest disseny no es negocia res, així que no es pot reassignar res, i aquest és l’intercanvi: determinisme a canvi de fer tu mateix la feina d’adreçament. És un mecanisme diferent, no una variant de vips, i per això els dos no s’han de barrejar en una sola connexió. Un selector fixat al costat d’una adreça negociada és una connexió que funciona fins que la passarel·la reparteix una altra cosa.

Verifica què ha assignat realment el responedor

Llegeix el llistat de SA per trobar l’adreça que la passarel·la ha concedit, i després confirma que l’adreça existeix a la interfície. Si les dues no coincideixen, el túnel està aixecat i el trànsit no va on penses. Una adreça concedida que mai arriba a la interfície és la fallada més confusa d’aquesta seqüència, perquè cada meitat sembla correcta per si sola.

Mantén quatre adreces separades a les notes: l’adreça interna demanada, la concedida, l’adreça LAN de la màquina i la sortida pública que informa un lloc web. Pertanyen a capes diferents i apareixen en llocs diferents. Una guia que enregistra les quatre és una que una altra persona pot seguir sense preguntar quina adreça volies dir. Torna-les a llegir després de cada recàrrega, perquè el valor concedit és l’únic que descriu el túnel actiu.

Mantén el disseny estàtic a part

Si necessites una adreça interna fixa, organitza la reserva a la passarel·la i deixa la petició del client com a petició. Barrejar un selector fixat amb una adreça negociada dona una connexió que funciona fins que la passarel·la assigna una altra cosa. Anota la regla de reserva al costat de la connexió, perquè és la part que un company no pot deduir del fitxer de configuració. Llavors un client nou hereta la regla en lloc de redescobrir-la.

Al client Mac integrat cap d’aquests noms d’opció existeix. Utilitza qualsevol assignació o reserva que ofereixi la passarel·la i el perfil que publiqui l’operador, i tracta qualsevol valor del costat del client com un suggeriment fins que hagis tornat a llegir l’assignació. La reversió consisteix a eliminar la línia vips i recarregar, cosa que et retorna al que la passarel·la assigna per defecte.

Articles relacionats