Planificar el acceso privado IKEv2 de pila doble con strongSwan

Un túnel de pila doble no es una decisión sino tres, y se pueden responder de forma distinta. Por qué familia circula el túnel exterior, qué familias recibe el cliente dentro y en qué familias responden realmente los servicios protegidos. Un diseño que las trata como una sola opción o bien transporta IPv6 que nunca hizo falta, o bien reparte direcciones que nada puede encaminar de vuelta. Separe las tres y el resto de la configuración se vuelve casi mecánico.

Tres tipos de dirección, decididos por separado

La dirección exterior es cómo se alcanzan las dos pasarelas, y puede ser IPv4 mientras el tráfico interior transporta ambas familias. La dirección virtual interior es la identidad del cliente dentro del túnel, y cada familia necesita su propio grupo. Los prefijos protegidos son lo que el cliente puede alcanzar, y pertenecen a los servicios, no al túnel. Confundir el tercero con el segundo causa la mayoría de los errores de planificación, porque ambos parecen rangos privados.

El transporte exterior solo IPv4 con tráfico interior de pila doble es una disposición normal y bien soportada.

Decida cada una explícitamente y anote las decisiones. Si el camino exterior es solo IPv4, dígalo y deje de preocuparse por el alcance de los puntos finales IPv6. Si una familia se asigna dentro pero nada responde en ella, o la quita del plan o hace que esos servicios sean realmente de pila doble.

Asigne una dirección virtual en cada familia

En una configuración swanctl el cliente solicita direcciones virtuales, y un comodín en cada familia pide al respondedor que asigne una de cada una. El respondedor las toma de grupos, y los grupos son objetos separados de las redes detrás de la pasarela. Manténgalos separados también en el plan, porque un grupo que se solapa con un prefijo de servicio produce encaminamiento que parece correcto hasta el momento en que el tráfico aterriza en un lugar no deseado.

Pida ambas familias cuando necesite las dos, y una cuando no, porque una dirección sin usar es superficie de política sin beneficio. Una solicitud concreta es una solicitud, no una reserva, y el respondedor puede devolver otro valor según su propia política. Ese detalle importa donde una dirección está codificada en una regla de cortafuegos o en una comprobación de monitorización. Consulte los grupos por nombre en la conexión y mantenga las redes de servicios fuera de ellos.

vips = 0.0.0.0, ::

Genere su propio prefijo local único para el grupo IPv6 en lugar de adoptar un valor de ejemplo corto. El ejemplo muestra la forma del ajuste, no un valor predeterminado que heredar.

Describa los destinos aparte de los grupos

Los selectores de tráfico describen qué espera intercambiar cada lado, así que los selectores locales de la pasarela deben nombrar prefijos de servicios protegidos y no grupos de clientes. Los selectores remotos del cliente reflejan esa intención. Cuando las dos listas describen objetos distintos, el túnel puede levantarse y aun así no transportar nada útil.

Esos mismos prefijos necesitan rutas de retorno y reenvío permitido dentro de la red de la pasarela, para cada familia que habilite.

Aquí es donde un plan IPv6 privado deja de ser suficiente. El direccionamiento local único compra alcance privado y no crea salida IPv6 pública, así que un diseño que supone que la familia sin numerar simplemente seguirá las reglas de enmascaramiento IPv4 decepcionará a sus usuarios. Si el acceso IPv6 público forma parte del requisito, necesita un plan enrutado y un proveedor superior que esté de acuerdo. De lo contrario, diga claramente que el lado IPv6 es solo privado, lo que es una frontera honesta y no una limitación que ocultar.

Haga intencionados el DNS y los caminos de retorno

La resolución de nombres no sigue al transporte. Un resolutor puede devolver registros A y AAAA por un túnel solo IPv4, y el cliente intentará entonces una familia que nunca planificó. Decida qué nombres de servicio deben llevar respuestas de pila doble utilizables y haga intencionados ambos caminos. Un nombre que resuelve a una familia sin camino funcional produce un bloqueo en lugar de un error limpio, y los bloqueos son mucho más difíciles de diagnosticar.

Documente el alcance del punto final exterior por separado, incluido si hay alguna travesía NAT en juego y qué familia usa.

Después escriba el plan en seis líneas: punto final exterior, grupo IPv4, grupo IPv6, prefijo de servicio IPv4, prefijo de servicio IPv6 y el enrutador que posee las respuestas de cada uno. Un plan con esa forma responde a las preguntas que un operador plantea de verdad a las tres de la madrugada. Cualquier cosa más corta deja la pila doble como una segunda dirección atornillada a una política solo IPv4, y así suele acabar funcionando a medias.