strongSwan vips: jak požádat IKEv2 o virtuální adresu

vips žádá o vnitřní adresu IKEv2; brána rozhoduje, co přidělí. Nastavte žádost, načtěte ji a potom ověřte, co odpovídající strana skutečně přiřadila.

Váš klient IKEv2 může bránu požádat o vnitřní adresu a brána rozhoduje, co vrátí. V strongSwan je touto žádostí nastavení vips a zůstává žádostí, i když do něj napíšete konkrétní adresu. Následující postup žádost nastaví, načte ji a přečte, co se vrátilo, protože tyto tři kroky selhávají třemi různými způsoby. Ani jeden z nich se nezkrátí tím, že budete psát usilovněji.

O co vips žádá a co nemůže slíbit

vips patří dovnitř definice připojení a žádá od odpovídající strany virtuální adresu. Průvodce strongSwan pro virtuální adresy výslovně uvádí, že odpovědí může být jiná adresa, nebo vůbec nic, a to je věta, kterou lidé přeskakují, když zapíší hodnotu a očekávají, že se objeví. Žádost přesto stojí za to podat, protože ověřujete právě odpověď. Berte nastavení jako pokyn se zeptat, ne jako konfiguraci výsledku.

Žádost o 0.0.0.0 znamená požadavek na jakoukoli dostupnou virtuální adresu IPv4, což je obvykle správné, když na přesné hodnotě nezáleží. Žádost o konkrétní adresu je pro bránu nápověda, ne požadavek na ni.

Fragment swanctl a kam patří

Nastavení sídlí uvnitř bloku připojení, ne ve vlastním souboru a ne v profilu operačního systému. Tento izolovaný fragment ukazuje podobu:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Načtěte ho souborem, který připojení vlastní, potom připojení spusťte a přečtěte výsledek. Fragment vložený do špatné části vyvolá chybu zpracování nebo, hůř, připojení, které se načte bez žádosti, o níž jste si mysleli, že jste ji podali. Spusťte tři příkazy popořadě a výstup si ponechte.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts vybírá provoz, adresu nevytváří

local_ts pojmenovává množinu provozu, kterou dceřiná SA chrání; adresu na rozhraní neumisťuje. Jakmile je virtuální IP vyjednána, strongSwan přestane používat svůj výchozí dynamický selektor a použije přidělenou adresu. Připnete-li selektor k doslovné adrese, tvrdíte něco, co brána možná nepřidělila, a proto se porucha projeví jako funkční SA s provozem, který nikam nejde. Selektor popisuje provoz, zatímco přiřazení přichází z druhé výměny.

Druhý způsob, jak získat stabilní vnitřní adresu, je vlastnit ji lokálně. Umístěte adresu na rozhraní dřív, než tunel vstane, namiřte selektor na to, co už existuje, a uspořádejte protějšek a trasu kolem toho.

V takovém návrhu se nic nevyjednává, takže nic nelze přeřadit, a to je ta výměna: determinismus za to, že si adresování uděláte sami. Je to jiný mechanismus, ne varianta vips, a proto se oba nemají míchat v jednom připojení. Připnutý selektor vedle vyjednané adresy je připojení, které funguje, dokud brána nepřidělí něco jiného.

Ověřte, co odpovídající strana skutečně přiřadila

Přečtěte si výpis SA a najděte adresu, kterou brána přidělila, potom ověřte, že adresa na rozhraní existuje. Pokud se obě neshodují, tunel stojí a provoz nejde tam, kam myslíte. Přidělená adresa, která se na rozhraní nikdy nedostane, je nejmatoucnější porucha v této posloupnosti, protože každá polovina vypadá sama o sobě správně.

Držte si v poznámkách čtyři adresy odděleně: požadovanou vnitřní adresu, přidělenou, LAN adresu stroje a veřejný výstup, který hlásí nějaký web. Patří k různým vrstvám a objevují se na různých místech. Postup, který zaznamená všechny čtyři, je takový, že ho někdo jiný může následovat, aniž by se ptal, kterou adresu jste mysleli. Po každém znovunačtení je znovu přečtěte, protože přidělená hodnota je jediná, která popisuje živý tunel.

Statický návrh držte odděleně

Pokud potřebujete pevnou vnitřní adresu, zařiďte rezervaci na bráně a žádost klienta nechte žádostí. Smíchání připnutého selektoru s vyjednanou adresou dává připojení, které funguje, dokud brána nepřiřadí něco jiného. Zapište pravidlo rezervace vedle připojení, protože to je část, kterou kolega z konfiguračního souboru neodvodí. Nový klient pak pravidlo zdědí, místo aby ho znovu objevoval.

Ve vestavěném klientu pro Mac žádný z těchto názvů voleb neexistuje. Použijte jakékoli přiřazení nebo rezervaci, kterou brána nabízí, a profil, který zveřejní operátor, a jakoukoli hodnotu na straně klienta berte jako nápovědu, dokud si přiřazení nepřečtete zpět. Vrácení zpět znamená odstranit řádek vips a znovu načíst, což vás vrátí k tomu, co brána přiřazuje ve výchozím nastavení.

Související články