strongSwan vips: peti IKEv2 pri virtuala adreso

vips petas internan IKEv2-adreson; la enirejo decidas, kion ĝi donos. Agordu la peton, ŝarĝu ĝin, poste kontrolu, kion la respondanto efektive atribuis.

Via IKEv2-kliento povas peti la enirejon pri interna adreso, kaj la enirejo decidas, kion ĝi resendos. En strongSwan tiu peto estas la agordo vips, kaj ĝi restas peto eĉ kiam vi skribas konkretan adreson en ĝin. La gvidilo sube agordas la peton, ŝarĝas ĝin kaj legas, kio revenis, ĉar tiuj tri paŝoj malsukcesas en tri malsamaj manieroj. Neniu el ili mallongiĝas per pli forta tajpado.

Kion vips petas, kaj kion ĝi ne povas promesi

vips apartenas ene de konekta difino kaj petas de la respondanto virtualan adreson. La gvidilo de strongSwan pri virtualaj adresoj klare diras, ke la respondo povas esti alia adreso, aŭ tute nenio, kaj ĝuste tiun frazon homoj preterlasas kiam ili skribas valoron kaj atendas, ke ĝi aperos. La peto tamen valoras, ĉar tion, kion vi kontrolas, estas la respondo. Traktu la agordon kiel instrukcio peti, ne kiel agordo de la rezulto.

Peti 0.0.0.0 petas iun ajn disponeblan virtualan IPv4-adreson, kio kutime pravas kiam la preciza valoro ne gravas. Peti konkretan adreson estas aludo al la enirejo, ne postulo al ĝi.

La fragmento swanctl kaj kie ĝi apartenas

La agordo sidas ene de la konekta bloko, ne en propra dosiero kaj ne en operaciuma profilo. Ĉi tiu izolita fragmento montras la formon:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Ŝarĝu ĝin per la dosiero, kiu posedas la konekton, poste startigu la konekton kaj legu la rezulton. Fragmento algluita en la malĝustan sekcion produktas analizan eraron aŭ, pli malbone, konekton, kiu ŝarĝiĝas sen la peto, kiun vi pensis, ke vi faris. Rulu la tri komandojn sinsekve kaj konservu la eligon.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts elektas trafikon, ĝi ne kreas adreson

local_ts nomas la aron da trafiko, kiun la ida SA protektas; ĝi ne metas adreson sur interfacon. Post kiam virtuala IP estas intertraktita, strongSwan ĉesas uzi sian defaŭltan dinamikan selektilon kaj anstataŭe uzas la donitan adreson. Se vi fiksas la selektilon al laŭvorta adreso, vi asertas ion, kion la enirejo eble ne donis, kaj tial la fiasko aperas kiel funkcianta SA kun trafiko iranta nenie. La selektilo priskribas trafikon, dum la atribuo venas de la alia interŝanĝo.

La alia maniero akiri stabilan internan adreson estas posedi ĝin loke. Metu la adreson sur interfacon antaŭ ol la tunelo leviĝos, direktu la selektilon al tio, kio jam ekzistas, kaj ordigu la partneron kaj la itineron ĉirkaŭ tio.

Nenio estas intertraktata en tiu dezajno, do nenio povas esti reatribuita, kaj tio estas la interŝanĝo: determinismo kontraŭ tio, ke vi mem faru la adresadon. Ĝi estas malsama mekanismo, ne varianto de vips, kaj tial la du ne miksiĝu en unu konekto. Fiksita selektilo apud intertraktita adreso estas konekto, kiu funkcias ĝis la enirejo disdonos ion alian.

Kontrolu, kion la respondanto efektive atribuis

Legu la liston de SA por la adreso, kiun la enirejo donis, poste konfirmu, ke la adreso ekzistas sur la interfaco. Se la du malkongruas, la tunelo staras kaj la trafiko ne iras tien, kien vi pensas. Donita adreso, kiu neniam atingas la interfacon, estas la plej konfuza fiasko en ĉi tiu sinsekvo, ĉar ĉiu duono aspektas ĝusta sola.

Tenu kvar adresojn aparte en viaj notoj: la petitan internan adreson, la donitan, la LAN-adreson de la maŝino kaj la publikan eliron, kiun retejo raportas. Ili apartenas al malsamaj tavoloj kaj aperas en malsamaj lokoj. Gvidilo, kiu registras ĉiujn kvar, estas tiu, kiun iu alia povas sekvi sen demandi, kiun adreson vi celis. Legu ilin denove post ĉiu reŝargo, ĉar la donita valoro estas la sola, kiu priskribas la vivantan tunelon.

Tenu la statikan dezajnon aparte

Se vi bezonas fiksan internan adreson, aranĝu la rezervon sur la enirejo kaj lasu la peton de la kliento resti peto. Miksado de fiksita selektilo kun intertraktita adreso donas konekton, kiu funkcias ĝis la enirejo atribuos ion alian. Skribu la rezervan regulon apud la konekto, ĉar ĝi estas la parto, kiun kolego ne povas dedukti el la agorda dosiero. Tiam nova kliento heredas la regulon anstataŭ relegi ĝin.

Ĉe la enkonstruita Mac-kliento neniu el ĉi tiuj opcioj nomoj ekzistas. Uzu kian ajn atribuon aŭ rezervon, kiun la enirejo proponas, kaj la profilon, kiun la operatoro publikigas, kaj traktu ajnan valoron klientflanke kiel aludo ĝis vi relegos la atribuon. Reverto estas forigi la linion vips kaj reŝargi, kio revenigas vin al tio, kion la enirejo atribuas defaŭlte.

Rilataj artikoloj