Pila bikoitzeko VPN poolak: bi familiak zuzentzea strongSwan-en

Barneko IPv4 eta IPv6 poolak, babestutako aurrizkiak eta kanpoko tunelaren familia hiru erabaki bereizi dira. Plana ezazu bakoitza pila bikoitza deitu aurretik.

Pasabide batek bidaia-langile bati IPv4 eta IPv6 helbide birtualak eman dakizkioke, kanpoko tunelak oraindik IPv4 bidez bidaiatzen duen bitartean. Erabaki independenteak dira, eta horiek bakartzat hartzea da pila bikoitzeko planak normalean erortzen diren tokia. Bezeroaren barneko familiak, irits ditzakeen aurrizki babestuak eta kapsulatzea daraman garraioa hiru aukera bereizi dira.

Nahaste gehiena pila bikoitza hitza leku bakarrean pila bikoitza den diseinu bati aplikatzetik dator. Zerbitzu bat barnean pila bikoitza izan daiteke, kanpoko helbidean pila bakarrekoa, eta hala ere bezeroentzat ezin hobeto funtziona dezake. Ezin duena ustekabean funtzionatzea da.

Bi familia barruan, bide bat kanpoan

Kanpoko konexioa UDP gaineko IKE da, eta bezeroa dagoen tokian bertatik irisgarri den helbide-familia bat behar du. Barneko IPv6 helbide batek ez du IPv6 gaitutako hornitzaile bat behar, barneko paketea kanpokoaren barruko karga erabilgarria delako. Inplementazio funtzionagarri askok IPv6 aurrizkiak IPv4 soilik duen goranzko esteka baten bidez eramaten dituzte.

Kanpoko bideak mugatzen duena irisgarritasuna eta NAT zeharkatzea da. Pasabideak IPv4 helbide bat soilik iragartzen badu, IPv6 soilik duen sare bateko bezero batek ezin du konektatu, ezarri dituzun poolak edozein direla ere. Erabaki kanpoko familia zure bezero-populazioaren arabera, ez barneko helbide-planaren arabera.

Eman bezeroari helbide bat familia bakoitzean

Bi familiak eskatzea bezeroaren aldean lerro bakarreko adierazpena da, betiere pasabideak banatzeko zerbait badu. Izena duten poolek iturburuak zerbitzu-sareetatik bereizten dituzte, eta horixe da suebaki-arauak sei hilabete geroago irakurgarri egiten dituen propietatea.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

Honako vips balioak familia bakoitzeko helbide bat eskatzen du, eta poolen zerrendak erabakitzen du helbide horiek nondik datozen.strongSwan-en IP birtualari buruzko dokumentazioak eskaera anitz eta pool esleipena biltzen ditu, besteak beste bezero batek helbide zehatz bat eskatzean erantzuleak gainidatz dezakeen hobespen bat soilik adierazten duela. Ez eraiki bezeroak beti balio bera jasotzen duela suposatzen duen sarbide-arau bat.

Sortu zeure aurrizki lokal bakarra adibidekoa kopiatu beharrean. Bi erakunde biek fd42::/16 inplementatzen badute, elkarren arteko lehen konexioan aurkituko dute talka, eta hori diagnostikatzea ez da atsegina.

Hautatzaileek helmugak deskribatzen dituzte, ez iturburuak

Ume-SAren tokiko trafiko-hautatzaileek pasabidearen atzean zein sare babestu dauden esaten dute, eta urruneko hautatzaileek bezeroak iturburu gisa zer erabil dezakeen deskribatzen dute. Pool birtualeko helbide bat politika horren iturburu-aldean dago; helmugen zerrendan jartzea konfigurazioaren okerreko irakurketa ohikoa da.

Bi familiekin itzulera-bideak eta pasabidean baimendutako birbidalketa behar dira. Aurrizki bat hautatzaileari gehitzeak poolera itzultzeko biderik gabe tunel bat sortzen du, zeina ezartzen den, trafikoaren norabide bat pasatzen duen eta erantzuna isilpean botatzen duen. Hautatzailea politika da, ez bideratzea.

Eduki itzazu poolak eta zerbitzu-aurrizkiak zure helbide-planaren bloke bereizietan. Gainjartzen direnean, host babestu batera iritsi beharko lukeen bide bat pool helbide batekin bat etorri eta tunelean desagertu daiteke.

DNSak eta erantzun-bideak erabakitzen dute amaituta ematen duen

Ebazlearen erantzunak ebazlearengana iristeko erabiltzen den garraioarekiko independenteak dira. Izen batek A erregistro bat, AAAA erregistro bat edo biak itzul ditzake, eta bezeroak bere hobespen-arauen arabera aukeratzen du . Barneko zerbitzu batek AAAA erregistroa argitaratzen badu baina ezerk aurrizki hori bideratzen ez badu, pila bikoitzeko sareetan dauden bezeroek IPv6 bidea probatuko dute lehenengo eta han geldituko dira huts egin arte. Tuneleko konfigurazioan ezer ez da okerrago ikusten hori gertatzen den bitartean.

Beraz, erabaki izen bakoitzeko zein familia izan behar diren erabilgarri, eta gero egiaztatu dagokion aurrizkia hautatzailean dagoela eta itzulera-bidea duela. Zerbitzu bakoitzeko erabakia da. Bi erregistro motak bereizketarik gabe argitaratzea da IPv4 soilik duen zerbitzu funtzionagarri bat bere erabiltzaileen erdiarentzat denbora-muga gainditzen hastea.

Egiaztatu bi familiak amaituta dela esan aurretik

Kargatzen den konfigurazioa ez da funtzionatzen duen konfigurazioa. Irakurri daemonak ematen duen egoera, berretsi pool esleipenak, eta gero begiratu bezeroak benetan instalatu zituen bideak.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

Lehen bi komandoek ezarritako ume-SAak eta zein poolek duten helbiderik eskuragarri erakusten dute, eta horrela lehen bezeroarentzat funtzionatzen duen eta hamargarrenarentzat huts egiten duen plan bat ikusgai bihurtzen da. Azken biek erakusten dute bezeroak pooletik IPv6 helbide global bat jaso duen eta aurrizki babestu baterako trafikoa benetan nora joango litzatekeen. Alderatu esleitutako helbidea konfiguratu duzun poolarekin, espero zenuen helbidearekin baino. Erantzuleak bere politikaren arabera beste balio bat aukeratu badu, bideek eta suebaki-arauek bat etorri behar dute oraindik hark aukeratuarekin.

Gero probatu host babestu bat familia bakoitzeko, eta probatu bietara ebazten den izen bat. Familia bakarreko probak ez dizu ezer esaten landu ez duzun planaren erdiari buruz, eta erdi horretan egoten da normalean falta den bidea.

Erlazionatutako artikuluak