Σχεδιασμός ιδιωτικής πρόσβασης IKEv2 διπλής στοίβας με strongSwan

Μια σήραγγα διπλής στοίβας δεν είναι μία απόφαση αλλά τρεις, και μπορούν να απαντηθούν διαφορετικά. Πάνω από ποια οικογένεια τρέχει η εξωτερική σήραγγα, ποιες οικογένειες λαμβάνει ο πελάτης εσωτερικά και σε ποιες οικογένειες απαντούν πραγματικά οι προστατευμένες υπηρεσίες. Ένας σχεδιασμός που τις αντιμετωπίζει ως μία επιλογή είτε μεταφέρει IPv6 που δεν χρειάστηκε ποτέ, είτε διανέμει διευθύνσεις που τίποτα δεν μπορεί να δρομολογήσει πίσω. Διαχωρίστε τις τρεις και το υπόλοιπο της διαμόρφωσης γίνεται σχεδόν μηχανικό.

Τρία είδη διεύθυνσης, που αποφασίζονται χωριστά

Η εξωτερική διεύθυνση είναι το πώς οι δύο πύλες φτάνουν η μία την άλλη, και μπορεί να είναι IPv4 ενώ η εσωτερική κίνηση μεταφέρει και τις δύο οικογένειες. Η εσωτερική εικονική διεύθυνση είναι η ταυτότητα του πελάτη μέσα στη σήραγγα, και κάθε οικογένεια χρειάζεται τη δική της συγκέντρωση. Τα προστατευμένα προθέματα είναι αυτά που μπορεί να φτάσει ο πελάτης, και ανήκουν στις υπηρεσίες και όχι στη σήραγγα. Η σύγχυση του τρίτου με το δεύτερο προκαλεί τα περισσότερα σφάλματα σχεδιασμού, επειδή και τα δύο μοιάζουν με ιδιωτικές περιοχές.

Η εξωτερική μεταφορά μόνο IPv4 με εσωτερική κίνηση διπλής στοίβας είναι μια κανονική και καλά υποστηριζόμενη διάταξη.

Αποφασίστε καθεμία ρητά και γράψτε τις αποφάσεις. Αν η εξωτερική διαδρομή είναι μόνο IPv4, πείτε το και σταματήστε να ανησυχείτε για την προσβασιμότητα των τελικών σημείων IPv6. Αν μια οικογένεια εκχωρείται εσωτερικά αλλά τίποτα δεν απαντά σε αυτήν, είτε αφαιρέστε την από το σχέδιο είτε κάντε αυτές τις υπηρεσίες πραγματικά διπλής στοίβας.

Εκχωρήστε μια εικονική διεύθυνση σε κάθε οικογένεια

Σε μια διαμόρφωση swanctl ο πελάτης ζητά εικονικές διευθύνσεις, και ένας χαρακτήρας μπαλαντέρ σε κάθε οικογένεια ζητά από τον αποκρινόμενο να εκχωρήσει μία από την καθεμία. Ο αποκρινόμενος τις αντλεί από συγκεντρώσεις, και οι συγκεντρώσεις είναι ξεχωριστά αντικείμενα από τα δίκτυα πίσω από την πύλη. Κρατήστε τις ξεχωριστές και στο σχέδιο, γιατί μια συγκέντρωση που επικαλύπτει ένα πρόθεμα υπηρεσίας παράγει δρομολόγηση που φαίνεται σωστή μέχρι τη στιγμή που η κίνηση προσγειώνεται κάπου ανεπιθύμητα.

Ζητήστε και τις δύο οικογένειες όταν χρειάζεστε και τις δύο, και μία όταν δεν χρειάζεστε, γιατί μια αχρησιμοποίητη διεύθυνση είναι επιφάνεια πολιτικής χωρίς όφελος. Ένα συγκεκριμένο αίτημα είναι αίτημα και όχι κράτηση, και ο αποκρινόμενος μπορεί να επιστρέψει διαφορετική τιμή σύμφωνα με τη δική του πολιτική. Αυτή η λεπτομέρεια έχει σημασία όπου μια διεύθυνση είναι σκληρά κωδικοποιημένη σε κανόνα τείχους προστασίας ή σε έλεγχο παρακολούθησης. Αναφέρετε τις συγκεντρώσεις ονομαστικά στη σύνδεση και κρατήστε τα δίκτυα υπηρεσιών έξω από αυτές.

vips = 0.0.0.0, ::

Δημιουργήστε το δικό σας μοναδικό τοπικό πρόθεμα για τη συγκέντρωση IPv6 αντί να υιοθετήσετε μια σύντομη τιμή παραδείγματος. Το παράδειγμα δείχνει τη μορφή της ρύθμισης, όχι μια προεπιλεγμένη τιμή προς κληρονόμηση.

Περιγράψτε τους προορισμούς χωριστά από τις συγκεντρώσεις

Οι επιλογείς κίνησης περιγράφουν τι περιμένει να ανταλλάξει κάθε πλευρά, οπότε οι τοπικοί επιλογείς της πύλης πρέπει να ονομάζουν προστατευμένα προθέματα υπηρεσιών και όχι συγκεντρώσεις πελατών. Οι απομακρυσμένοι επιλογείς του πελάτη αντανακλούν αυτή την πρόθεση. Όταν οι δύο λίστες περιγράφουν διαφορετικά αντικείμενα, η σήραγγα μπορεί να σηκωθεί και παρόλα αυτά να μη μεταφέρει τίποτα χρήσιμο.

Τα ίδια προθέματα χρειάζονται διαδρομές επιστροφής και επιτρεπόμενη προώθηση μέσα στο δίκτυο της πύλης, για κάθε οικογένεια που ενεργοποιείτε.

Εδώ ένα ιδιωτικό σχέδιο IPv6 παύει να επαρκεί. Η μοναδική τοπική διευθυνσιοδότηση αγοράζει ιδιωτική προσβασιμότητα και δεν δημιουργεί δημόσια έξοδο IPv6, οπότε ένας σχεδιασμός που υποθέτει ότι η μη αριθμημένη οικογένεια θα ακολουθήσει απλώς τους κανόνες συγκάλυψης IPv4 θα απογοητεύσει τους χρήστες του. Αν η δημόσια πρόσβαση IPv6 είναι μέρος της απαίτησης, χρειάζεται δρομολογημένο σχέδιο και ένα ανάντη που συμφωνεί με αυτό. Διαφορετικά δηλώστε καθαρά ότι η πλευρά IPv6 είναι μόνο ιδιωτική, που είναι ειλικρινές όριο και όχι περιορισμός προς απόκρυψη.

Κάντε το DNS και τις διαδρομές επιστροφής σκόπιμα

Η επίλυση ονομάτων δεν ακολουθεί τη μεταφορά. Ένας επιλυτής μπορεί να επιστρέψει εγγραφές A και AAAA μέσω σήραγγας μόνο IPv4, και ο πελάτης θα δοκιμάσει τότε μια οικογένεια για την οποία δεν σχεδιάσατε ποτέ. Αποφασίστε ποια ονόματα υπηρεσιών πρέπει να φέρουν χρησιμοποιήσιμες απαντήσεις διπλής στοίβας και κάντε και τις δύο διαδρομές σκόπιμες. Ένα όνομα που επιλύεται σε οικογένεια χωρίς λειτουργική διαδρομή παράγει στασιμότητα και όχι καθαρό σφάλμα, και οι στασιμότητες είναι πολύ δυσκολότερο να διαγνωστούν.

Τεκμηριώστε την προσβασιμότητα του εξωτερικού τελικού σημείου χωριστά, συμπεριλαμβανομένου του αν εμπλέκεται διέλευση NAT και ποια οικογένεια χρησιμοποιεί.

Στη συνέχεια γράψτε το σχέδιο σε έξι γραμμές: εξωτερικό τελικό σημείο, συγκέντρωση IPv4, συγκέντρωση IPv6, πρόθεμα υπηρεσίας IPv4, πρόθεμα υπηρεσίας IPv6 και ο δρομολογητής που κατέχει τις απαντήσεις για καθένα. Ένα σχέδιο σε αυτή τη μορφή απαντά στις ερωτήσεις που κάνει πραγματικά ένας χειριστής στις τρεις τα ξημερώματα. Οτιδήποτε συντομότερο αφήνει τη διπλή στοίβα ως δεύτερη διεύθυνση βιδωμένη σε πολιτική μόνο IPv4, και έτσι συνήθως καταλήγει να δουλεύει μισά.