Plánování privátního přístupu přes IKEv2 s duálním zásobníkem a strongSwan

Tunel s duálním zásobníkem není jedno rozhodnutí, ale tři, a na každé lze odpovědět jinak. Přes kterou rodinu běží vnější tunel, které rodiny klient dostává uvnitř a na kterých rodinách chráněné služby skutečně odpovídají. Návrh, který je bere jako jednu volbu, buď nese IPv6, který nikdy nebyl potřeba, nebo přiděluje adresy, které nic nedokáže směrovat zpět. Oddělte ty tři a zbytek konfigurace se stane téměř mechanickým.

Tři druhy adres, rozhodnuté odděleně

Vnější adresa je to, jak se obě brány navzájem dosáhnou, a může být IPv4, zatímco vnitřní provoz nese obě rodiny. Vnitřní virtuální adresa je identita klienta uvnitř tunelu a každá rodina potřebuje vlastní fond. Chráněné prefixy jsou to, čeho klient může dosáhnout, a patří službám, ne tunelu. Záměna třetího s druhým způsobuje většinu chyb v plánování, protože obojí vypadá jako privátní rozsah.

Vnější transport pouze přes IPv4 s vnitřním provozem duálního zásobníku je běžné a dobře podporované uspořádání.

Rozhodněte každé výslovně a rozhodnutí zapište. Pokud je vnější cesta pouze IPv4, řekněte to a přestaňte se starat o dosažitelnost koncových bodů přes IPv6. Pokud je rodina přidělena uvnitř, ale nic na ní neodpovídá, buď ji z plánu odstraňte, nebo tyto služby udělejte skutečně duálními.

Přidělte virtuální adresu v každé rodině

V konfiguraci swanctl klient žádá virtuální adresy a zástupný znak v každé rodině žádá respondéra, aby přidělil jednu z každé. Respondér je bere z fondů a fondy jsou samostatné objekty od sítí za branou. Držte je oddělené i v plánu, protože fond překrývající prefix služby vytváří směrování, které vypadá správně až do okamžiku, kdy provoz přistane někde nechtěně.

Žádejte obě rodiny, když potřebujete obě, a jednu, když ne, protože nepoužitá adresa je plocha politiky bez užitku. Konkrétní žádost je žádost, nikoli rezervace, a respondér může podle vlastní politiky vrátit jinou hodnotu. Ten detail je důležitý všude, kde je adresa natvrdo zapsaná v pravidle firewallu nebo v kontrole monitorování. Odkazujte na fondy jménem ve spojení a držte sítě služeb mimo ně.

vips = 0.0.0.0, ::

Vytvořte si vlastní jedinečný lokální prefix pro fond IPv6, místo abyste přebírali krátkou ukázkovou hodnotu. Ukázka ukazuje tvar nastavení, ne výchozí hodnotu k převzetí.

Popište cíle odděleně od fondů

Selektory provozu popisují, co každá strana očekává, že si vymění, takže lokální selektory brány mají jmenovat chráněné prefixy služeb, a ne klientské fondy. Vzdálené selektory klienta tento záměr zrcadlí. Když oba seznamy popisují různé objekty, tunel může naběhnout a přesto nenést nic užitečného.

Tyto stejné prefixy potřebují zpětné trasy a povolené předávání uvnitř sítě brány, pro každou rodinu, kterou zapnete.

Tady přestává být privátní plán IPv6 dostačující. Jedinečné lokální adresování kupuje privátní dosažitelnost a nevytváří veřejný výstup IPv6, takže návrh, který předpokládá, že nečíslovaná rodina prostě půjde podle pravidel maskování IPv4, zklame své uživatele. Pokud je veřejný přístup k IPv6 součástí požadavku, potřebuje směrovaný plán a upstream, který s ním souhlasí. Jinak jasně řekněte, že strana IPv6 je pouze privátní, což je poctivá hranice, a ne omezení, které je třeba skrývat.

Udělejte DNS a zpětné cesty záměrnými

Překlad jmen nenásleduje transport. Překladač může vrátit záznamy A a AAAA přes tunel pouze s IPv4 a klient pak zkusí rodinu, kterou jste nikdy neplánovali. Rozhodněte, která jména služeb mají nést použitelné odpovědi duálního zásobníku, a obě ty cesty udělejte záměrnými. Jméno, které se přeloží na rodinu bez funkční cesty, vytváří zaseknutí, a ne čistou chybu, a zaseknutí se diagnostikují mnohem obtížněji.

Zdokumentujte dosažitelnost vnějšího koncového bodu zvlášť, včetně toho, zda je ve hře nějaké procházení NAT a kterou rodinu používá.

Pak napište plán v šesti řádcích: vnější koncový bod, fond IPv4, fond IPv6, prefix služby IPv4, prefix služby IPv6 a směrovač, který vlastní odpovědi pro každý z nich. Plán v tomto tvaru odpovídá na otázky, které operátor skutečně klade ve tři ráno. Cokoli kratšího nechává duální zásobník jako druhou adresu přišroubovanou k politice pouze IPv4, a tak to obvykle skončí napůl funkční.