Cynllunio mynediad preifat IKEv2 deu-stac gyda strongSwan

Nid un penderfyniad yw twnnel deu-stac ond tri, a gellir eu hateb yn wahanol. Pa deulu y mae'r twnnel allanol yn rhedeg drosto, pa deuluoedd y mae'r cleient yn eu derbyn y tu mewn, a pha deuluoedd y mae'r gwasanaethau gwarchodedig yn ateb arnynt mewn gwirionedd. Mae dyluniad sy'n eu trin fel un dewis naill ai'n cario IPv6 na fu ei angen erioed, neu'n dosbarthu cyfeiriadau na all unrhyw beth eu llwybro yn ôl. Gwahanwch y tri a daw gweddill y ffurfweddiad bron yn fecanyddol.

Tri math o gyfeiriad, wedi'u penderfynu ar wahân

Y cyfeiriad allanol yw sut y mae'r ddwy borth yn cyrraedd ei gilydd, a gall fod yn IPv4 tra bod y traffig mewnol yn cario'r ddau deulu. Y cyfeiriad rhithwir mewnol yw hunaniaeth y cleient y tu mewn i'r twnnel, a mae angen ei bwl ei hun ar bob teulu. Y rhagddodiadau gwarchodedig yw'r hyn y caiff y cleient ei gyrraedd, ac maent yn perthyn i'r gwasanaethau yn hytrach na'r twnnel. Mae cymysgu'r trydydd â'r ail yn achosi'r rhan fwyaf o gamgymeriadau cynllunio, oherwydd bod y ddau yn edrych fel ystodau preifat.

Mae cludiant allanol IPv4 yn unig gyda thraffig mewnol deu-stac yn drefniant arferol ac wedi'i gefnogi'n dda.

Penderfynwch bob un yn benodol ac ysgrifennwch y penderfyniadau i lawr. Os yw'r llwybr allanol yn IPv4 yn unig, dywedwch hynny a stopiwch boeni am gyrhaeddedd penynnau IPv6. Os yw teulu yn cael ei neilltuo y tu mewn ond nad oes unrhyw beth yn ateb arno, naill ai tynnwch ef o'r cynllun neu gwnewch y gwasanaethau hynny yn ddeu-stac go iawn.

Neilltuwch gyfeiriad rhithwir ym mhob teulu

Mewn ffurfweddiad swanctl mae'r cleient yn gofyn am gyfeiriadau rhithwir, ac mae cardyn gwyllt ym mhob teulu yn gofyn i'r atebydd neilltuo un o bob un. Mae'r atebydd yn eu tynnu o byllau, ac mae pyllau yn wrthrychau ar wahân i'r rhwydweithiau y tu ôl i'r borth. Cadwch nhw ar wahân yn y cynllun hefyd, oherwydd bod pwll sy'n gorgyffwrdd â rhagddodiad gwasanaeth yn cynhyrchu llwybro sy'n edrych yn gywir hyd at y foment y bydd traffig yn glanio yn rhywle na fwriadwyd.

Gofynnwch am y ddau deulu pan fyddwch eu hangen ill dau, ac am un pan nad oes eu hangen, oherwydd bod cyfeiriad nas defnyddiwyd yn arwyneb polisi heb fudd. Mae cais penodol yn gais yn hytrach na chadwraeth, a gall yr atebydd ddychwelyd gwerth gwahanol o dan ei bolisi ei hun. Mae'r manylyn hwnnw'n bwysig lle mae cyfeiriad wedi'i galed-godio mewn rheol wal dân neu mewn gwiriad monitro. Cyfeiriwch at byllau wrth eu henw yn y cysylltiad a chadwch rwydweithiau gwasanaeth allan ohonynt.

vips = 0.0.0.0, ::

Cynhyrchwch eich rhagddodiad lleol unigryw eich hun ar gyfer y pwll IPv6 yn hytrach na mabwysiadu gwerth enghreifftiol byr. Mae'r enghraifft yn dangos siâp y gosodiad, nid gwerth diofyn i'w etifeddu.

Disgrifiwch gyrchfannau ar wahân i byllau

Mae detholwyr traffig yn disgrifio'r hyn y mae pob ochr yn disgwyl ei gyfnewid, felly dylai detholwyr lleol y borth enwi rhagddodiadau gwasanaeth gwarchodedig ac nid pyllau cleientiaid. Mae detholwyr pell y cleient yn adlewyrchu'r bwriad hwnnw. Pan fo'r ddwy restr yn disgrifio gwrthrychau gwahanol, gall y twnnel godi a chario dim defnyddiol o hyd.

Mae angen llwybrau dychwelyd a chyfeiriannu a ganiateir y tu mewn i rwydwaith y borth ar yr un rhagddodiadau hynny, ar gyfer pob teulu a alluogwch.

Dyma lle mae cynllun IPv6 preifat yn peidio â bod yn ddigon. Mae cyfeirio lleol unigryw yn prynu cyrhaeddedd preifat ac nid yw'n creu allbwn IPv6 cyhoeddus, felly bydd dyluniad sy'n tybio y bydd y teulu heb rif yn dilyn rheolau mwgwd IPv4 yn siomi ei ddefnyddwyr. Os yw mynediad IPv6 cyhoeddus yn rhan o'r gofyniad, mae angen cynllun llwybredig a llif i fyny sy'n cytuno ag ef. Fel arall, dywedwch yn blwmp fod ochr IPv6 yn breifat yn unig, sef ffin onest yn hytrach na chyfyngiad i'w guddio.

Gwnewch DNS a llwybrau dychwelyd yn fwriadol

Nid yw datrys enwau yn dilyn y cludiant. Gall datryswr ddychwelyd cofnodion A ac AAAA dros dwnnel IPv4 yn unig, ac yna bydd y cleient yn ceisio teulu na chynlluniasoch ar ei gyfer erioed. Penderfynwch pa enwau gwasanaeth y dylai fod ganddynt atebion deu-stac defnyddiadwy a gwnewch y ddwy lwybr hynny'n fwriadol. Mae enw sy'n datrys i deulu heb lwybr gweithredol yn cynhyrchu arosiad yn hytrach na gwall glân, ac mae arosiadau yn llawer anoddach i'w diagnosio.

Dogfennwch gyrhaeddedd y penyn allanol ar wahân, gan gynnwys a oes unrhyw groesi NAT ar waith a pha deulu y mae'n ei ddefnyddio.

Yna ysgrifennwch y cynllun mewn chwe llinell: penyn allanol, pwll IPv4, pwll IPv6, rhagddodiad gwasanaeth IPv4, rhagddodiad gwasanaeth IPv6, a'r llwybrydd sy'n berchen ar atebion ar gyfer pob un. Mae cynllun yn y siâp hwnnw yn ateb y cwestiynau y mae gweithredwr yn eu gofyn mewn gwirionedd am dri o'r gloch y bore. Mae unrhyw beth byrrach yn gadael deu-stac fel ail gyfeiriad wedi'i bolltio at bolisi IPv4 yn unig, a dyna sut y mae fel arfer yn gorffen yn gweithio'n hanner.