strongSwan vips: IKEv2ri helbide birtuala eskatzea

vips-ek barneko IKEv2 helbidea eskatzen du; atebideak erabakitzen du zer emango duen. Konfiguratu eskaera, kargatu eta, ondoren, egiaztatu erantzuleak benetan esleitu zuena.

Zure IKEv2 bezeroak barneko helbide bat eska diezaioke atebideari, eta atebideak erabakitzen du zer itzuliko duen. strongSwanen, eskaera hori vips ezarpena da, eta eskaera izaten jarraitzen du helbide zehatz bat idazten duzunean ere. Beheko gidak eskaera konfiguratzen du, kargatu eta itzuli dena irakurtzen du, hiru urrats horiek hiru modu desberdinetan huts egiten dutelako. Horietako bat ere ez da laburragoa egiten gogorrago idatzita.

Zer eskatzen duen vips-ek, eta zer ezin duen agindu

vips konexio-definizio baten barruan dago eta erantzuleari helbide birtual bat eskatzen dio. strongSwanen helbide birtualei buruzko gidak argi dio erantzuna beste helbide bat edo ezer ez izan daitekeela, eta hori da jendeak saltatzen duen esaldia balio bat idatzi eta agertuko dela espero duenean. Eskaerak merezi du oraindik, egiaztatzen duzuna erantzuna delako. Ezarpena galdetzeko jarraibide gisa hartu, ez emaitzaren konfigurazio gisa.

0.0.0.0 eskatzeak eskuragarri dagoen IPv4 helbide birtual edozein eskatzen du, eta hori normalean zuzena da balio zehatzak garrantzirik ez duenean. Helbide zehatz bat eskatzea atebideari egindako iradokizun bat da, ez harekiko eskaera bat.

swanctl zatia eta non kokatzen den

Ezarpena konexio-blokearen barruan dago, ez bere fitxategian eta ez sistema eragileko profilean. Zati isolatu honek forma erakusten du:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Kargatu konexioa duen fitxategiarekin, gero hasi konexioa eta irakurri emaitza. Atal okerrean itsatsitako zati batek analisi-errore bat sortzen du edo, okerrago, egin zenuen ustezko eskaerarik gabe kargatzen den konexio bat. Exekutatu hiru komandoak hurrenez hurren eta gorde irteera.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts-ek trafikoa hautatzen du, ez du helbiderik sortzen

local_ts-ek seme SAak babesten duen trafiko-multzoa izendatzen du; ez du helbiderik jartzen interfazean. IP birtuala negoziatu ondoren, strongSwanek utzi egiten dio bere hautatzaile dinamiko lehenetsia erabiltzeari eta emandako helbidea erabiltzen du horren ordez. Hautatzailea helbide literal bati lotzen badiozu, agian atebideak eman ez duen zerbait baieztatzen ari zara, eta horregatik hutsak SA funtzional gisa agertzen da trafikoa inora ez doala. Hautatzaileak trafikoa deskribatzen du, eta esleipena beste truke batetik dator.

Barneko helbide egonkor bat lortzeko beste modua tokian bertan edukitzea da. Jarri helbidea interfaze batean tunela altxatu aurretik, zuzendu hautatzailea lehendik dagoenari, eta antolatu parekidea eta ibilbidea horren inguruan.

Diseinu horretan ez da ezer negoziatzen, beraz ezer ezin da berresleitu, eta hori da trukea: determinismoa, helbideratze-lana zeuk egitearen truke. Beste mekanismo bat da, ez vips-en aldaera bat, eta horregatik biak ez dira konexio bakarrean nahastu behar. Hautatzaile finkatu bat negoziatutako helbide baten ondoan atebideak beste zerbait banatu arte funtzionatzen duen konexioa da.

Egiaztatu erantzuleak benetan esleitu zuena

Irakurri SA zerrenda atebideak eman duen helbidea bilatzeko, eta gero egiaztatu helbidea interfazean badagoela. Biak bat ez badatoz, tunela martxan dago eta trafikoa ez doa uste duzun lekura. Inoiz interfazera iristen ez den emandako helbidea da sekuentzia honetan hutsik nahasgarriena, erdi bakoitza bere hartan zuzena dirudielako.

Eduki lau helbide bereizita zure oharretan: eskatutako barne-helbidea, emandakoa, makinaren LAN helbidea eta webgune batek jakinarazten duen irteera publikoa. Geruza desberdinetakoak dira eta leku desberdinetan agertzen dira. Lauak erregistratzen dituen gida bat beste norbaitek jarrai dezakeena da, zein helbide esan nahi zenuen galdetu gabe. Irakurri berriro birkarga bakoitzaren ondoren, emandako balioa delako tunel bizia deskribatzen duen bakarra.

Mantendu diseinu estatikoa bereizita

Barneko helbide finkoa behar baduzu, antolatu erreserba atebidean eta utzi bezeroaren eskaera eskaera izaten. Hautatzaile finkatu bat negoziatutako helbide batekin nahasteak atebideak beste zerbait esleitu arte funtzionatzen duen konexioa ematen du. Idatzi erreserba-araua konexioaren ondoan, hori delako lankideak konfigurazio-fitxategitik ondoriozta ezin dezakeen zatia. Orduan bezero berri batek araua oinordetzan hartzen du, berriro aurkitu beharrean.

Mac bezero integratuan ez da opzio-izen horietako bat ere existitzen. Erabili atebideak eskaintzen duen esleipena edo erreserba eta operadoreak argitaratzen duen profila, eta hartu bezeroaren aldeko edozein balio iradokizun gisa esleipena berriro irakurri arte. Atzera egitea vips lerroa kentzea eta birkargatzea da, eta horrek atebideak lehenespenez esleitzen duenera itzultzen zaitu.

Erlazionatutako artikuluak