Kahekordse virnaga IKEv2 privaatse juurdepääsu kavandamine strongSwaniga

Kahekordse virnaga tunnel ei ole üks otsus, vaid kolm, ja neile saab vastata erinevalt. Millise pere kaudu välimine tunnel jookseb, milliseid peresid klient sees saab ja millistel peredel kaitstud teenused tegelikult vastavad. Disain, mis kohtleb neid ühe valikuna, kannab kas IPv6, mida kunagi vaja ei läinud, või jagab aadresse, mida miski ei suuda tagasi marsruutida. Eraldage need kolm ja ülejäänud konfiguratsioon muutub peaaegu mehaaniliseks.

Kolm aadressitüüpi, otsustatud eraldi

Väline aadress on see, kuidas kaks lüüsi teineteiseni jõuavad, ja see võib olla IPv4, samal ajal kui sisemine liiklus kannab mõlemat peret. Sisemine virtuaalne aadress on kliendi identiteet tunneli sees, ja igal perel on vaja oma tõmmist. Kaitstud eesliited on see, mida klient tohib kätte saada, ja need kuuluvad teenustele, mitte tunnelile. Kolmanda segamine teisega põhjustab enamiku kavandamisvigadest, sest mõlemad näevad välja nagu privaatsed vahemikud.

Väline transport ainult IPv4 kaudu koos sisemise kahekordse virna liiklusega on tavaline ja hästi toetatud lahendus.

Otsustage igaüks selgesõnaliselt ja kirjutage otsused üles. Kui välimine tee on ainult IPv4, öelge seda ja lõpetage muretsemine IPv6-lõpp-punktide kättesaadavuse pärast. Kui pere määratakse sees, aga miski sellel ei vasta, siis kas eemaldage see plaanist või tehke need teenused tõeliselt kahekordse virnaga.

Määrake igas peres virtuaalne aadress

swanctl-konfiguratsioonis küsib klient virtuaalseid aadresse ja metamärk igas peres palub vastajal määrata üks kummastki. Vastaja ammutab need tõmmistest ja tõmmised on lüüsi taga olevatest võrkudest eraldi objektid. Hoidke neid ka plaanis lahus, sest teenuse eesliitega kattuv tõmmis tekitab marsruutimise, mis näib õige kuni hetkeni, mil liiklus maandub kusagil soovimatus kohas.

Küsige mõlemat peret, kui vajate mõlemat, ja ühte, kui ei vaja, sest kasutamata aadress on kasuta poliitikapind. Konkreetne taotlus on taotlus, mitte broneering, ja vastaja võib oma poliitika järgi tagastada teistsuguse väärtuse. See detail loeb kõikjal, kus aadress on kõvasti kodeeritud tulemüürireeglisse või monitooringukontrolli. Viidake ühenduses tõmmistele nime järgi ja hoidke teenusevõrgud neist väljas.

vips = 0.0.0.0, ::

Looge IPv6-tõmmise jaoks oma ainulaadne kohalik eesliide, selle asemel et võtta üle lühike näidisväärtus. Näidis näitab seade kuju, mitte pärandatavat vaikeväärtust.

Kirjeldage sihtkohti tõmmistest eraldi

Liiklusvalijad kirjeldavad, mida kumbki pool ootab vahetada, seega peaksid lüüsi kohalikud valijad nimetama kaitstud teenuse eesliiteid, mitte klienditõmmiseid. Kliendi kaugvalijad peegeldavad seda kavatsust. Kui kaks nimekirja kirjeldavad erinevaid objekte, võib tunnel püsti tulla ja ikkagi mitte kanda midagi kasulikku.

Samad eesliited vajavad tagasiteid ja lubatud edasisaatmist lüüsi võrgu sees, iga pere jaoks, mille lubate.

Siin lakkab privaatne IPv6-plaan olemast piisav. Ainulaadne kohalik adresseerimine ostab privaatse kättesaadavuse ega loo avalikku IPv6-väljundit, seega disain, mis eeldab, et nummerdamata pere lihtsalt järgib IPv4 maskeerimisreegleid, valmistab oma kasutajatele pettumuse. Kui avalik IPv6-juurdepääs on nõude osa, vajab see marsruuditud plaani ja ülemvoolu, mis sellega nõustub. Vastasel juhul öelge selgelt, et IPv6 pool on ainult privaatne, mis on aus piir, mitte varjatav piirang.

Tehke DNS ja tagasiteed kavatsuslikuks

Nimede lahendamine ei järgi transporti. Lahendaja võib tagastada A- ja AAAA-kirjed ainult IPv4 tunnelis, ja klient proovib siis pere, mida te kunagi ei planeerinud. Otsustage, millised teenusenimed peaksid kandma kasutatavaid kahekordse virna vastuseid, ja tehke mõlemad need teed kavatsuslikuks. Nimi, mis laheneb perre, millel pole töötavat teed, tekitab tõkke, mitte puhta vea, ja tõkkeid on palju raskem diagnoosida.

Dokumenteerige välise lõpp-punkti kättesaadavus eraldi, sealhulgas kas mängus on NAT-läbimine ja millist peret see kasutab.

Seejärel kirjutage plaan kuue reana: väline lõpp-punkt, IPv4-tõmmis, IPv6-tõmmis, IPv4-teenuse eesliide, IPv6-teenuse eesliide ja ruuter, kellele igaühe vastused kuuluvad. Sellise kujuga plaan vastab küsimustele, mida operaator tegelikult kell kolm öösel küsib. Kõik lühem jätab kahekordse virna teiseks aadressiks, mis on polti pandud ainult IPv4 poliitika külge, ja nii jääb see tavaliselt pooleldi tööle.