Planlægning af privat IKEv2-adgang med dobbelt stak og strongSwan

En tunnel med dobbelt stak er ikke én beslutning men tre, og de kan besvares forskelligt. Hvilken familie den ydre tunnel kører over, hvilke familier klienten modtager indeni, og hvilke familier de beskyttede tjenester faktisk svarer på. Et design, der behandler dem som ét valg, bærer enten IPv6, som aldrig var nødvendig, eller uddeler adresser, som intet kan rute tilbage. Adskil de tre, og resten af konfigurationen bliver næsten mekanisk.

Tre slags adresser, besluttet hver for sig

Den ydre adresse er, hvordan de to gateways når hinanden, og den kan være IPv4, mens den indre trafik bærer begge familier. Den indre virtuelle adresse er klientens identitet inde i tunnelen, og hver familie har brug for sin egen pulje. De beskyttede præfikser er det, klienten må nå, og de tilhører tjenesterne og ikke tunnelen. At forveksle det tredje med det andet forårsager de fleste planlægningsfejl, fordi begge ser ud som private områder.

Ydre transport med kun IPv4 og indre trafik med dobbelt stak er en normal og godt understøttet ordning.

Beslut hver enkelt udtrykkeligt, og skriv beslutningerne ned. Hvis den ydre vej kun er IPv4, så sig det og hold op med at bekymre dig om nåbarheden af IPv6-endepunkter. Hvis en familie tildeles indeni, men intet svarer på den, skal du enten fjerne den fra planen eller gøre disse tjenester reelt dobbelt-stakkede.

Tildel en virtuel adresse i hver familie

I en swanctl-konfiguration anmoder klienten om virtuelle adresser, og et jokertegn i hver familie beder responderen om at tildele én af hver. Responderen henter dem fra puljer, og puljer er separate objekter fra netværkene bag gatewayen. Hold dem også adskilt i planen, fordi en pulje, der overlapper et tjenestepræfiks, giver routing, der ser korrekt ud lige indtil det øjeblik, hvor trafikken lander et uønsket sted.

Bed om begge familier, når du har brug for begge, og om én, når du ikke har, fordi en ubrugt adresse er politikflade uden gavn. En specifik anmodning er en anmodning og ikke en reservation, og responderen kan returnere en anden værdi under sin egen politik. Den detalje betyder noget, hvor en adresse er hårdt kodet i en firewallregel eller en overvågningskontrol. Referer til puljer ved navn i forbindelsen, og hold tjenestenetværk uden for dem.

vips = 0.0.0.0, ::

Generér dit eget unikke lokale præfiks til IPv6-puljen i stedet for at overtage en kort eksempelværdi. Eksemplet viser indstillingens form, ikke en standardværdi, der skal arves.

Beskriv destinationer adskilt fra puljer

Trafikvælgere beskriver, hvad hver side forventer at udveksle, så gatewayens lokale vælgere skal navngive beskyttede tjenestepræfikser og ikke klientpuljer. Klientens fjerne vælgere afspejler den hensigt. Når de to lister beskriver forskellige objekter, kan tunnelen komme op og stadig ikke bære noget nyttigt.

De samme præfikser har brug for returruter og tilladt videresendelse inde i gatewayens netværk, for hver familie, du aktiverer.

Det er her, en privat IPv6-plan holder op med at være tilstrækkelig. Unik lokal adressering køber privat nåbarhed og skaber ikke offentlig IPv6-udgang, så et design, der antager, at den unummererede familie blot følger IPv4-maskeringsreglerne, vil skuffe sine brugere. Hvis offentlig IPv6-adgang er en del af kravet, har den brug for en rutet plan og en opstrøm, der er enig i den. Ellers sig klart, at IPv6-siden kun er privat, hvilket er en ærlig grænse og ikke en begrænsning, der skal skjules.

Gør DNS og returveje bevidste

Navneopløsning følger ikke transporten. En resolver kan returnere A- og AAAA-poster over en tunnel med kun IPv4, og klienten vil derefter prøve en familie, du aldrig har planlagt. Beslut, hvilke tjenestenavne der skal bære brugbare dobbelt-stak-svar, og gør begge de veje bevidste. Et navn, der opløses til en familie uden en fungerende vej, giver en standsning i stedet for en ren fejl, og standsninger er langt sværere at diagnosticere.

Dokumentér det ydre endepunkts nåbarhed separat, inklusive om nogen NAT-gennemtrængning er i spil, og hvilken familie den bruger.

Skriv derefter planen på seks linjer: ydre endepunkt, IPv4-pulje, IPv6-pulje, IPv4-tjenestepræfiks, IPv6-tjenestepræfiks og routeren, der ejer svar for hver. En plan i den form besvarer de spørgsmål, en operatør faktisk stiller klokken tre om morgenen. Alt kortere efterlader dobbelt stak som en anden adresse boltet på en politik med kun IPv4, og det er sådan, det normalt ender med at virke halvt.