strongSwan vips: gofyn i IKEv2 am gyfeiriad rhithwir

Gall eich cleient IKEv2 ofyn i’r porth am gyfeiriad mewnol, a’r porth sy’n penderfynu beth i’w ddychwelyd. Yn strongSwan, y cais hwnnw yw’r gosodiad vips, ac mae’n parhau’n gais hyd yn oed pan fyddwch yn ysgrifennu cyfeiriad penodol ynddo. Mae’r llyfr rhedeg isod yn ffurfweddu’r cais, yn ei lwytho ac yn darllen yr hyn a ddaeth yn ôl, oherwydd mae’r tri cham hynny’n methu mewn tair ffordd wahanol. Nid oes yr un ohonynt yn byrhau drwy deipio’n galetach.

Beth mae vips yn ei ofyn, a beth na all ei addo

Mae vips yn perthyn y tu mewn i ddiffiniad cysylltiad ac yn gofyn i’r ymatebydd am gyfeiriad rhithwir. Mae canllaw strongSwan ar gyfeiriadau rhithwir yn ddi-flewyn-ar-dafod fod yr ateb yn gallu bod yn gyfeiriad gwahanol, neu’n ddim o gwbl, a dyna’r frawddeg y mae pobl yn ei hepgor pan fyddant yn ysgrifennu gwerth ac yn disgwyl iddo ymddangos. Mae’r cais yn dal yn werth ei wneud, oherwydd yr ateb yw’r hyn rydych yn ei wirio. Triniwch y gosodiad fel cyfarwyddyd i ofyn, nid fel ffurfweddiad y canlyniad.

Mae gofyn am 0.0.0.0 yn gofyn am unrhyw gyfeiriad rhithwir IPv4 sydd ar gael, sy’n briodol fel arfer pan nad yw’r union werth o bwys. Mae gofyn am gyfeiriad penodol yn awgrym i’r porth, nid yn alwad arno.

Y darn swanctl a lle mae’n perthyn

Mae’r gosodiad yn eistedd y tu mewn i floc y cysylltiad, nid yn ei ffeil ei hun ac nid ym mhroffil system weithredu. Mae’r darn ynysig hwn yn dangos y siâp:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Llwythwch ef gyda’r ffeil sy’n berchen ar y cysylltiad, yna cychwynnwch y cysylltiad a darllenwch y canlyniad. Mae darn a lapiwyd i’r adran anghywir yn cynhyrchu gwall dosrannu neu, yn waeth, gysylltiad sy’n llwytho heb y cais roeddech yn meddwl eich bod wedi’i wneud. Rhedwch y tri gorchymyn yn olynol a chadwch yr allbwn.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

Mae local_ts yn dewis traffig, nid yw’n creu cyfeiriad

Mae local_ts yn enwi’r set o draffig y mae’r SA plentyn yn ei diogelu; nid yw’n rhoi cyfeiriad ar ryngwyneb. Unwaith y bydd IP rhithwir wedi’i negodi, mae strongSwan yn rhoi’r gorau i ddefnyddio ei ddetholydd deinamig diofyn ac yn defnyddio’r cyfeiriad a ganiatwyd yn lle hynny. Os byddwch yn hoelio’r detholydd ar gyfeiriad llythrennol, rydych yn honni rhywbeth na roddodd y porth efallai, a dyna pam mae’r methiant yn ymddangos fel SA sy’n gweithio gyda thraffig yn mynd i unman. Mae’r detholydd yn disgrifio traffig, tra bod y neilltuo yn dod o’r cyfnewid arall.

Y ffordd arall o gael cyfeiriad mewnol sefydlog yw ei berchenogi’n lleol. Rhowch y cyfeiriad ar ryngwyneb cyn i’r twnnel godi, pwyntiwch y detholydd at yr hyn sydd eisoes yn bodoli, a threfnwch y partner a’r llwybr o’i amgylch.

Ni negodir dim yn y dyluniad hwnnw, felly ni ellir ailddyrannu dim, a dyna’r fargen: penderfyniaeth yn gyfnewid am wneud y gwaith cyfeiriannu eich hun. Mecanwaith gwahanol yw hwn, nid amrywiad o vips, a dyna pam na ddylid cymysgu’r ddau mewn un cysylltiad. Mae detholydd wedi’i hoelio wrth ymyl cyfeiriad wedi’i negodi yn gysylltiad sy’n gweithio nes i’r porth rannu rhywbeth arall.

Gwiriwch beth a neilltuodd yr ymatebydd mewn gwirionedd

Darllenwch restr yr SA am y cyfeiriad a ganiatodd y porth, yna cadarnhewch fod y cyfeiriad yn bodoli ar y rhyngwyneb. Os yw’r ddau yn anghytuno, mae’r twnnel i fyny ac nid yw’r traffig yn mynd i’r lle rydych yn ei feddwl. Cyfeiriad a ganiatwyd nad yw byth yn cyrraedd y rhyngwyneb yw’r methiant mwyaf dryslyd yn y dilyniant hwn, oherwydd mae pob hanner yn edrych yn gywir ar ei ben ei hun.

Cadwch bedwar cyfeiriad ar wahân yn eich nodiadau: y cyfeiriad mewnol a ofynnwyd amdano, yr un a ganiatwyd, cyfeiriad LAN y peiriant, a’r allanfa gyhoeddus y mae gwefan yn ei hadrodd. Maent yn perthyn i haenau gwahanol ac yn ymddangos mewn gwahanol leoedd. Mae llyfr rhedeg sy’n cofnodi’r pedwar i gyd yn un y gall rhywun arall ei ddilyn heb ofyn pa gyfeiriad oeddech yn ei olygu. Darllenwch nhw’n ôl ar ôl pob ail-lwytho, oherwydd y gwerth a ganiatwyd yw’r unig un sy’n disgrifio’r twnnel byw.

Cadwch y dyluniad statig ar wahân

Os oes arnoch angen cyfeiriad mewnol sefydlog, trefnwch y cadw ar y porth a gadewch gais y cleient yn gais. Mae cymysgu detholydd wedi’i hoelio â chyfeiriad wedi’i negodi yn rhoi cysylltiad sy’n gweithio nes i’r porth neilltuo rhywbeth gwahanol. Ysgrifennwch y rheol gadw wrth ymyl y cysylltiad, oherwydd dyna’r rhan na all cydweithiwr ei chasglu o’r ffeil ffurfweddu. Yna mae cleient newydd yn etifeddu’r rheol yn lle ei hailddarganfod.

Ar y cleient Mac adeiledig nid oes yr un o’r enwau opsiwn hyn yn bodoli. Defnyddiwch ba bynnag neilltuo neu gadw y mae’r porth yn ei gynnig a’r proffil y mae’r gweithredwr yn ei gyhoeddi, a thriniwch unrhyw werth ar ochr y cleient fel awgrym nes i chi ddarllen y neilltuo’n ôl. Mae dadwneud yn golygu tynnu’r llinell vips ac ail-lwytho, sy’n eich dychwelyd at yr hyn y mae’r porth yn ei neilltuo yn ddiofyn.