IKEv2 pila bikoitzeko sarbide pribatuaren plangintza strongSwan-ekin

Pila bikoitzeko tunel bat ez da erabaki bat, hiru baizik, eta modu desberdinetan erantzun daitezke. Zein familiaren gainetik dabil kanpoko tunela, zein familia jasotzen dituen bezeroak barruan, eta zein familietan erantzuten duten benetan babestutako zerbitzuek. Aukera bakartzat hartzen dituen diseinuak edo inoiz behar izan ez zen IPv6 dakar, edo ezerk atzera bideratu ezin dituen helbideak banatzen ditu. Bereizi hirurak eta gainerako konfigurazioa ia mekanikoa bihurtzen da.

Hiru helbide mota, bereiz erabakita

Kanpoko helbidea bi ateak elkarrengana nola iristen diren da, eta IPv4 izan daiteke barneko trafikoak bi familiak eramaten dituen bitartean. Barneko helbide birtuala bezeroaren nortasuna da tuneleko barruan, eta familia bakoitzak bere multzoa behar du. Babestutako aurrizkiak bezeroak har dezakeena dira, eta zerbitzuei dagozkie, ez tuneleari. Hirugarrena bigarrenarekin nahasteak eragiten ditu plangintza-errore gehienak, biak barruti pribatu bezala agertzen direlako.

Kanpoko garraio IPv4 soila barneko pila bikoitzeko trafikoarekin ohiko antolaketa da, ongi onartua.

Erabaki bakoitza esplizituki eta idatzi erabakiak. Kanpoko bidea IPv4 soila bada, esan hori eta utzi IPv6 muturren irisgarritasunaz arduratzea. Barruan familia bat esleitzen bada baina ezerk ez badio erantzuten, edo kendu planetik edo egin zerbitzu horiek benetan pila bikoitzekoak.

Esleitu helbide birtual bat familia bakoitzean

swanctl konfigurazio batean bezeroak helbide birtualak eskatzen ditu, eta familia bakoitzeko komodin batek erantzuleari bakoitzetik bat esleitzea eskatzen dio. Erantzuleak multzoetatik ateratzen ditu, eta multzoak ateko atzean dauden sareetatik bereizitako objektuak dira. Eduki itzazu bereizita planean ere, zerbitzu-aurrizki batekin gainjartzen den multzo batek bideratze zuzena dirudiena sortzen baitu trafikoak nahi ez zen leku batean lurreratzen duen arte.

Eskatu bi familiak biak behar dituzunean, eta bat behar ez duzunean, erabili gabeko helbidea onurarik gabeko politika-azalera baita. Eskaera zehatza eskaera da, ez erreserba, eta erantzuleak beste balio bat itzul dezake bere politikaren arabera. Xehetasun horrek garrantzia du helbidea suebaki-arau batean edo monitorizazio-egiaztapen batean gogor kodetuta dagoen leku guztietan. Aipatu multzoak izenez konexioan eta eduki zerbitzu-sareak haietatik kanpo.

vips = 0.0.0.0, ::

Sortu zeure aurrizki lokal bakarra IPv6 multzorako, adibide-balio labur bat bereganatu beharrean. Adibideak ezarpenaren forma erakusten du, ez heredatzeko balio lehenetsia.

Deskribatu helmugak multzoetatik bereizita

Trafiko-hautatzaileek alde bakoitzak trukatu nahi duena deskribatzen dute, beraz ateko hautatzaile lokalek babestutako zerbitzu-aurrizkiak izendatu behar dituzte, ez bezero-multzoak. Bezeroaren urruneko hautatzaileek asmo hori islatzen dute. Bi zerrendek objektu desberdinak deskribatzen dituztenean, tunela altxa daiteke eta oraindik ez ezer erabilgarririk eraman.

Aurrizki horiek berberek itzulera-bideak eta baimendutako birbidaltzea behar dituzte ateko sarearen barruan, gaitzen duzun familia bakoitzerako.

Hemen uzten dio IPv6 plan pribatu batek nahikoa izateari. Helbideratze lokal bakarrak irisgarritasun pribatua erosten du eta ez du IPv6 irteera publikorik sortzen, beraz zenbakirik gabeko familiak IPv4 maskaratze-arauak besterik gabe jarraituko dituela suposatzen duen diseinuak huts egingo die bere erabiltzaileei. IPv6 sarbide publikoa baldintzaren parte bada, bideratutako plan bat eta harekin ados dagoen goiko fluxu bat behar ditu. Bestela, esan garbi IPv6 aldea pribatua soilik dela, eta hori muga zintzoa da, ez ezkutatzeko murrizketa.

Egin DNS eta itzulera-bideak nahitakoak

Izenen ebazpenak ez dio garraioari jarraitzen. Ebazleak A eta AAAA erregistroak itzul ditzake IPv4 soilik tunel baten bidez, eta bezeroak inoiz planifikatu ez zenuen familia bat probatuko du orduan. Erabaki zein zerbitzu-izenek eraman behar dituzten pila bikoitzeko erantzun erabilgarriak eta egin bi bideak nahitakoak. Bide erabilgarririk gabeko familiara ebazten den izenak geldialdia sortzen du, ez errore garbia, eta geldialdiak askoz zailagoak dira diagnostikatzen.

Dokumentatu kanpoko muturraren irisgarritasuna bereizita, NAT zeharkatzerik badagoen eta zein familia erabiltzen duen barne.

Ondoren idatzi plana sei lerrotan: kanpoko muturra, IPv4 multzoa, IPv6 multzoa, IPv4 zerbitzu-aurrizkia, IPv6 zerbitzu-aurrizkia, eta bakoitzaren erantzunak dituen bideratzailea. Forma horretako plan batek operadoreak goizeko hiruretan benetan egiten dituen galderak erantzuten ditu. Edozein gauza laburragoek pila bikoitza IPv4 soilik politika bati lotutako bigarren helbide gisa uzten du, eta horrela amaitzen du normalean erdi funtzionatzen.