Pylla VPN deu-stac: annerch y ddwy deulu yn strongSwan

Gall porth daflu cyfeiriad rhithwir IPv4 ac IPv6 i deithiwr ar yr un pryd tra bo’r twnnel allanol yn dal i deithio dros IPv4. Penderfyniadau annibynnol yw’r rhain, a thrin y ddau fel un yw’r fan lle mae cynlluniau deu-stac fel arfer yn chwalu. Mae teuluoedd mewnol y cleient, y rhagddodiadau gwarchodedig y gall eu cyrraedd, a’r cludiant sy’n cario’r amgáu yn dri dewis ar wahân.

Daw’r rhan fwyaf o’r dryswch o gymhwyso’r gair deu-stac i gynllun sydd ond yn deu-stac mewn un man. Gall gwasanaeth fod yn deu-stac yn fewnol, yn un-stac ar ei gyfeiriad allanol, ac eto weithio’n berffaith dda i gleientiaid. Yr hyn na all ei wneud yw gweithio ar ddamwain.

Dwy deulu y tu mewn, un llwybr y tu allan

IKE dros UDP yw’r cysylltiad allanol, ac mae angen un deulu cyfeiriad cyrraeddadwy arno o ble bynnag y bo’r cleient. Nid oes angen darparwr â IPv6 ar gyfer cyfeiriad IPv6 mewnol, oherwydd y pecyn mewnol yw’r llwyth o fewn y pecyn allanol. Mae llawer o ddefnyddiadau sy’n gweithio yn cludo rhagddodiadau IPv6 trwy gyswllt i fyny sy’n unig-IPv4.

Yr hyn y mae’r llwybr allanol yn ei gyfyngu yw cyrhaeddedd a thramwy NAT. Os mai dim ond cyfeiriad IPv4 y mae’r porth yn ei hysbysebu, ni all cleient ar rwydwaith unig-IPv6 gysylltu o gwbl, waeth pa bylla a ffurfweddwyd gennych. Penderfynwch ar y teulu allanol yn ôl eich poblogaeth gleientiaid, nid yn ôl y cynllun cyfeiriadau mewnol.

Rhowch gyfeiriad i’r cleient ym mhob teulu

Mae gofyn am y ddwy deulu yn un llinell ar ochr y cleient, ar yr amod bod gan y porth rywbeth i’w ddosbarthu. Mae pylla enwog yn cadw’r ffynonellau ar wahân i’r rhwydweithiau gwasanaeth, a dyna’r nodwedd sy’n gwneud rheolau wal dân yn ddarllenadwy chwe mis yn ddiweddarach.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

Y vips gwerth yn gofyn am gyfeiriad o bob teulu, a’r rhestr pylla sy’n penderfynu o ble y daw’r cyfeiriadau hynny. Mae’r dogfennau strongSwan ar IP rhithwir yn ymdrin â cheisiadau lluosog a dyraniad pylla, gan gynnwys y pwynt bod cleient sy’n gofyn am gyfeiriad penodol yn mynegi dewis y gall yr ymatebydd ei ddiystyru. Peidiwch ag adeiladu rheol mynediad sy’n tybio bod y cleient bob amser yn cael yr un gwerth.

Cynhyrchwch eich rhagddodiad lleol unigryw eich hun yn lle copïo’r un enghreifftiol. Bydd dwy sefydliad sydd ill dwy fd42::/16 yn ei osod yn darganfod y gwrthdrawiad y tro cyntaf iddynt gysylltu â’i gilydd, ac nid yw diagnosis hynny’n bleserus.

Mae detholwyr yn disgrifio cyrchfannau, nid ffynonellau

Mae detholwyr traffig lleol yr SA plentyn yn dweud pa rwydweithiau gwarchodedig sydd y tu ôl i’r porth, ac mae’r detholwyr pell yn disgrifio’r hyn y caiff y cleient ei ddefnyddio fel ffynhonnell. Mae cyfeiriad pyll rhithwir yn perthyn i ochr ffynhonnell y polisi hwnnw; ei roi yn y rhestr gyrchfan yw camddarllen cyffredin o’r ffurfweddiad.

Mae’r ddwy deulu angen llwybrau dychwelyd ac anfon ymlaen a ganiateir ar y porth. Mae ychwanegu rhagddodiad at ddetholwr heb lwybr yn ôl i’r pyll yn creu twnnel sy’n sefydlu, yn pasio un cyfeiriad o draffig, ac yn gollwng yr ateb yn dawel. Polisi yw’r detholwr, nid llwybro.

Cadwch y pylla a’r rhagddodiadau gwasanaeth mewn blociau ar wahân yn eich cynllun cyfeiriadau. Pan fyddant yn gorgyffwrdd, gall llwybr a ddylai gyrraedd gwesteiwr gwarchodedig daro cyfeiriad pyll a diflannu i’r twnnel.

Mae DNS a’r llwybr ateb yn penderfynu a yw’n teimlo’n gyflawn

Mae atebion y datryswr yn annibynnol o’r cludiant a ddefnyddir i gyrraedd y datryswr. Gall enw ddychwelyd cofnod A, cofnod AAAA neu’r ddau, ac mae’r cleient yn dewis yn ôl ei reolau dewis ei hun . Os yw gwasanaeth mewnol yn cyhoeddi cofnod AAAA ond nad oes dim yn llwybro’r rhagddodiad hwnnw, bydd cleientiaid ar rwydweithiau deu-stac yn rhoi cynnig ar lwybr IPv6 yn gyntaf ac yn eistedd yno nes iddo fethu. Nid oes dim yn y ffurfweddiad twnnel yn edrych yn anghywir tra bo hynny’n digwydd.

Felly penderfynwch fesul enw pa deuluoedd a ddylai fod yn ddefnyddiadwy, yna gwiriwch fod y rhagddodiad cyfatebol yn y detholwr ac â llwybr dychwelyd. Penderfyniad fesul gwasanaeth yw hwn. Cyhoeddi’r ddau fath o gofnod yn ddiwahân yw’r ffordd y mae gwasanaeth unig-IPv4 sy’n gweithio yn dechrau amseru allan i hanner ei ddefnyddwyr.

Gwiriwch y ddwy deulu cyn ei alw’n barod

Nid yw ffurfweddiad sy’n llwytho yn ffurfweddiad sy’n gweithio. Darllenwch y cyflwr y mae’r daemon yn ei adrodd, cadarnhewch y dyraniadau pyll, ac yna edrychwch ar y llwybrau a osododd y cleient mewn gwirionedd.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

Mae’r ddau orchymyn cyntaf yn dangos yr SA plentyn sydd wedi’u sefydlu a pha bylla sydd â chyfeiriadau ar gael o hyd, felly daw cynllun sy’n gweithio i’r cleient cyntaf ac yn methu i’r degfed yn weladwy. Mae’r ddau olaf yn dangos a gafodd y cleient gyfeiriad IPv6 byd-eang o’r pyll a ble y byddai traffig i ragddodiad gwarchodedig yn mynd mewn gwirionedd. Cymharwch y cyfeiriad a neilltuwyd â’r pyll a ffurfweddwyd gennych, nid â’r cyfeiriad y gwnaethoch obeithio amdano. Os dewisodd yr ymatebydd werth gwahanol o dan ei bolisi, rhaid i’r llwybrau a’r rheolau wal dân fod yn gyson â’r hyn a ddewisodd.

Yna profwch un gwesteiwr gwarchodedig fesul teulu, a phrofwch enw sy’n datrys i’r ddau. Nid yw prawf un teulu yn dweud dim wrthych am y hanner o’r cynllun nad ydych wedi’i arfer, a dyna lle mae’r llwybr coll fel arfer.