strongSwan vips: kuidas IKEv2-lt virtuaalset aadressi küsida

Sinu IKEv2-klient võib lüüsilt sisemist aadressi küsida ja lüüs otsustab, mida tagasi saata. strongSwani puhul on see päring seade vips ja see jääb päringuks ka siis, kui kirjutad sellesse konkreetse aadressi. Allolev juhend seadistab päringu, laadib selle ja loeb, mis tagasi tuli, sest need kolm sammu ebaõnnestuvad kolmel erineval viisil. Ükski neist ei lühene kõvemini trükkides.

Mida vips küsib ja mida see lubada ei saa

vips kuulub ühenduse definitsiooni sisse ja küsib vastajalt virtuaalset aadressi. strongSwani virtuaalsete aadresside juhend ütleb selgesõnaliselt, et vastuseks võib olla teine aadress või üldse mitte midagi, ja just selle lause jätavad inimesed vahele, kui nad kirjutavad väärtuse ja ootavad, et see ilmub. Päring tasub siiski teha, sest kontrollid ju vastust. Käsitle seadet kui korraldust küsida, mitte kui tulemuse konfiguratsiooni.

0.0.0.0 küsimine küsib ükskõik millist saadaolevat virtuaalset IPv4-aadressi, mis on tavaliselt õige, kui täpne väärtus ei loe. Konkreetse aadressi küsimine on lüüsile vihje, mitte nõue selle vastu.

swanctl-fragment ja selle koht

Seade asub ühenduse ploki sees, mitte omaette failis ja mitte operatsioonisüsteemi profiilis. See isoleeritud fragment näitab kuju:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Laadi see failiga, millele ühendus kuulub, seejärel käivita ühendus ja loe tulemus. Valesse sektsiooni kleebitud fragment annab parsija vea või, hullem, ühenduse, mis laaditakse ilma päringuta, mille sa arvasid olevat teinud. Käivita kolm käsku järjest ja hoia väljund alles.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts valib liiklust, see ei loo aadressi

local_ts nimetab liikluse hulga, mida tütar-SA kaitseb; see ei pane liidesele aadressi. Kui virtuaalne IP on läbi räägitud, lõpetab strongSwan oma vaikimisi dünaamilise valija kasutamise ja kasutab selle asemel antud aadressi. Kui kinnitad valija literaalse aadressi külge, väidad midagi, mida lüüs võib-olla ei andnud, ja seetõttu ilmneb tõrge töötava SA-na, mille liiklus ei lähe kuhugi. Valija kirjeldab liiklust, samas kui määramine tuleb teisest vahetusest.

Teine viis stabiilse sisemise aadressi saamiseks on omada seda lokaalselt. Pane aadress liidesele enne, kui tunnel tõuseb, suuna valija sellele, mis juba olemas on, ja korralda partner ning marsruut selle ümber.

Selles disainis ei räägita midagi läbi, seega ei saa midagi ümber määrata, ja see ongi vahetus: determinism selle eest, et teed aadressimise töö ise. See on erinev mehhanism, mitte vipsi variant, mistõttu ei tohiks neid kahte ühes ühenduses segada. Kinnitatud valija läbi räägitud aadressi kõrval on ühendus, mis töötab seni, kuni lüüs jagab midagi muud.

Kontrolli, mida vastaja tegelikult määras

Loe SA-loendist välja aadress, mille lüüs andis, ja kinnita seejärel, et aadress on liidesel olemas. Kui need kaks ei klapi, on tunnel üleval ja liiklus ei lähe sinna, kuhu sa arvad. Antud aadress, mis ei jõua kunagi liidesele, on selles järjestuses kõige segadust tekitavam tõrge, sest kumbki pool näeb eraldi vaadates õige välja.

Hoia märkmetes nelja aadressi eraldi: küsitud sisemine aadress, antud aadress, masina LAN-aadress ja avalik väljapääs, millest mõni veebisait teatab. Need kuuluvad erinevatesse kihtidesse ja esinevad erinevates kohtades. Juhend, mis märgib üles kõik neli, on selline, mida teine inimene saab järgida küsimata, millist aadressi sa silmas pidasid. Loe need pärast igat uuestilaadimist uuesti, sest antud väärtus on ainus, mis kirjeldab elavat tunnelit.

Hoia staatiline disain eraldi

Kui vajad fikseeritud sisemist aadressi, korralda broneering lüüsil ja jäta kliendi päring päringuks. Kinnitatud valija segamine läbi räägitud aadressiga annab ühenduse, mis töötab seni, kuni lüüs määrab midagi muud. Kirjuta broneeringu reegel ühenduse kõrvale, sest see on osa, mida kolleeg ei saa konfiguratsioonifailist tuletada. Siis pärib uus klient reegli, selle asemel et see uuesti avastada.

Sisseehitatud Maci kliendis ei ole ühtki neist valikunimedest. Kasuta ükskõik millist määramist või broneeringut, mida lüüs pakub, ja profiili, mille operaator avaldab, ning käsitle mis tahes kliendipoolset väärtust vihjena, kuni oled määramise uuesti läbi lugenud. Tagasipööramine tähendab vips-rea eemaldamist ja uuestilaadimist, mis viib sind tagasi selle juurde, mida lüüs vaikimisi määrab.