Planado de privata IKEv2-aliro kun duobla stako kaj strongSwan

Tunelo kun duobla stako ne estas unu decido sed tri, kaj oni povas respondi ilin malsame. Super kiu familio la ekstera tunelo kuras, kiujn familiojn la kliento ricevas interne, kaj sur kiuj familioj la protektitaj servoj efektive respondas. Dezajno, kiu traktas ilin kiel unu elekton, aŭ portas IPv6, kiun ĝi neniam bezonis, aŭ disdonas adresojn, kiujn nenio povas reen enkursigi. Apartigu la tri, kaj la resto de la agordo fariĝas preskaŭ mekanika.

Tri specoj de adreso, decide apartigitaj

La ekstera adreso estas kiel la du pordegoj atingas unu la alian, kaj ĝi povas esti IPv4 dum la interna trafiko portas ambaŭ familiojn. La interna virtuala adreso estas la identeco de la kliento ene de la tunelo, kaj ĉiu familio bezonas sian propran naĝejon. La protektitaj prefiksoj estas tio, kion la kliento rajtas atingi, kaj ili apartenas al la servoj, ne al la tunelo. Konfuzi la trian kun la dua kaŭzas plej multajn planajn erarojn, ĉar ambaŭ aspektas kiel privataj gamoj.

Ekstera transporto nur per IPv4 kun interna trafiko de duobla stako estas normala kaj bone subtenata aranĝo.

Decidu ĉiun eksplicite kaj skribu la decidojn. Se la ekstera vojo estas nur IPv4, diru tion kaj ĉesu zorgi pri atingeblo de IPv6-finpunktoj. Se familio estas asignita interne sed nenio respondas sur ĝi, aŭ forigu ĝin el la plano, aŭ faru tiujn servojn vere duoblaj stakaj.

Asignu virtualan adreson en ĉiu familio

En swanctl-agordo la kliento petas virtualajn adresojn, kaj ĵokera signo en ĉiu familio petas al la respondanto asigni po unu el ĉiu. La respondanto prenas ilin el naĝejoj, kaj naĝejoj estas apartaj objektoj de la retoj malantaŭ la pordego. Tenu ilin apartaj ankaŭ en la plano, ĉar naĝejo kiu interkovras servan prefikson produktas enkursigon, kiu aspektas ĝusta ĝis la momento, kiam trafiko surteriĝas ie nedezirata.

Petu ambaŭ familiojn kiam vi bezonas ambaŭ, kaj unu kiam vi ne bezonas, ĉar neuzata adreso estas politika surfaco sen utilo. Konkreta peto estas peto, ne rezervo, kaj la respondanto povas redoni alian valoron laŭ sia propra politiko. Tiu detalo gravas ie ajn, kie adreso estas malmole kodita en fajromura regulo aŭ en monitora kontrolo. Referencu naĝejojn per nomo en la konekto kaj tenu servajn retojn ekster ili.

vips = 0.0.0.0, ::

Generu vian propran unikan lokan prefikson por la IPv6-naĝejo anstataŭ adopti mallongan ekzemplan valoron. La ekzemplo montras la formon de la agordo, ne defaŭltan valoron heredendan.

Priskribu celojn aparte de naĝejoj

Trafikaj selektiloj priskribas, kion ĉiu flanko atendas interŝanĝi, do la lokaj selektiloj de la pordego nomu protektitajn servajn prefiksojn kaj ne klientajn naĝejojn. La malproksimaj selektiloj de la kliento spegulas tiun intencon. Kiam la du listoj priskribas malsamajn objektojn, la tunelo povas leviĝi kaj tamen porti nenion utilan.

Tiuj samaj prefiksoj bezonas reenajn vojojn kaj permesitan plusendadon ene de la reto de la pordego, por ĉiu familio, kiun vi ebligas.

Jen kie privata IPv6-plano ĉesas sufiĉi. Unika loka adresado aĉetas privatan atingeblon kaj ne kreas publikan IPv6-eliron, do dezajno, kiu supozas, ke la sennombra familio simple sekvos la IPv4-maskadajn regulojn, seniluziigos siajn uzantojn. Se publika IPv6-aliro estas parto de la postulo, ĝi bezonas enkursigitan planon kaj supran fluon, kiu konsentas kun ĝi. Alie diru klare, ke la IPv6-flanko estas nur privata, kio estas honesta limo kaj ne limigo kaŝenda.

Faru DNS kaj reenajn vojojn intencaj

Noma solvado ne sekvas la transporton. Solvilo povas redoni A- kaj AAAA-rikordojn tra nur-IPv4 tunelo, kaj la kliento tiam provos familion, kiun vi neniam planis. Decidu, kiuj servaj nomoj portu uzeblajn duoblajn stakajn respondojn, kaj faru ambaŭ tiujn vojojn intencaj. Nomo, kiu solviĝas al familio sen funkcianta vojo, produktas haltadon anstataŭ puran eraron, kaj haltadoj estas multe pli malfacile diagnozeblaj.

Dokumentu la atingeblon de la ekstera finpunkto aparte, inkluzive ĉu iu NAT-trapaso estas en ludo kaj kiun familion ĝi uzas.

Poste skribu la planon en ses linioj: ekstera finpunkto, IPv4-naĝejo, IPv6-naĝejo, IPv4-serva prefikso, IPv6-serva prefikso, kaj la enkursigilo, kiu posedas respondojn por ĉiu. Plano en tiu formo respondas la demandojn, kiujn operatoro efektive starigas je la tria matene. Io pli mallonga lasas duoblan stakon kiel duan adreson ŝraŭbitan al nur-IPv4 politiko, kaj tiel ĝi kutime finiĝas duone funkcianta.