برنامه‌ریزی دسترسی خصوصی IKEv2 دوپشته با strongSwan
ترابری بیرونی، استخرهای کارخواه و پیشوندهای محافظت‌شده سه تصمیم جداگانه‌اند. به هر یک پاسخ دهید و آدرس‌دهی خصوصی را از خروج جدا نگه دارید.
یک تونل دوپشته یک تصمیم نیست بلکه سه تصمیم است و می‌توان به آن‌ها متفاوت پاسخ داد. تونل بیرونی روی کدام خانواده کار می‌کند، کارخواه درون کدام خانواده‌ها را می‌گیرد، و سرویس‌های محافظت‌شده در واقع روی کدام خانواده‌ها پاسخ می‌دهند. طرحی که آن‌ها را یک انتخاب واحد می‌بیند یا IPv6 ای را حمل می‌کند که هرگز لازم نبود، یا نشانی‌هایی می‌دهد که هیچ چیز نمی‌تواند آن‌ها را بازمسیریابی کند. این سه را جدا کنید و بقیه پیکربندی تقریباً مکانیکی می‌شود.
سه نوع نشانی، جداگانه تصمیم‌گیری‌شده
نشانی بیرونی نحوه رسیدن دو دروازه به یکدیگر است و می‌تواند IPv4 باشد در حالی که ترافیک درونی هر دو خانواده را حمل می‌کند. نشانی مجازی درونی هویت کارخواه درون تونل است و هر خانواده به استخر خودش نیاز دارد. پیشوندهای محافظت‌شده چیزی است که کارخواه می‌تواند به آن برسد و به سرویس‌ها تعلق دارد نه به تونل. اشتباه گرفتن سومی با دومی بیشتر خطاهای برنامه‌ریزی را ایجاد می‌کند، چون هر دو مانند محدوده‌های خصوصی به نظر می‌رسند.
ترابری بیرونی تنها IPv4 با ترافیک درونی دوپشته چیدمانی عادی و به‌خوبی پشتیبانی‌شده است.
هر یک را صریحاً تصمیم بگیرید و تصمیم‌ها را بنویسید. اگر مسیر بیرونی تنها IPv4 است، همین را بگویید و نگرانی درباره دسترس‌پذیری نقطه‌های پایانی IPv6 را کنار بگذارید. اگر خانواده‌ای درون تخصیص می‌یابد ولی چیزی روی آن پاسخ نمی‌دهد، یا آن را از طرح حذف کنید یا آن سرویس‌ها را واقعاً دوپشته کنید.
در هر خانواده یک نشانی مجازی تخصیص دهید
در پیکربندی swanctl کارخواه نشانی‌های مجازی درخواست می‌کند و یک نویسه عام در هر خانواده از پاسخ‌دهنده می‌خواهد از هر کدام یکی تخصیص دهد. پاسخ‌دهنده آن‌ها را از استخرها برمی‌دارد و استخرها اشیایی جدا از شبکه‌های پشت دروازه‌اند. آن‌ها را در طرح هم جدا نگه دارید، چون استخری که با پیشوند یک سرویس همپوشانی دارد مسیریابی‌ای می‌سازد که درست به نظر می‌رسد تا لحظه‌ای که ترافیک جایی ناخواسته فرود می‌آید.
وقتی به هر دو نیاز دارید هر دو خانواده را بخواهید و وقتی نیاز ندارید یکی را، چون نشانی بی‌استفاده سطح سیاستی بدون سود است. درخواست مشخص یک درخواست است نه رزرو، و پاسخ‌دهنده می‌تواند بر اساس سیاست خودش مقدار دیگری برگرداند. این جزئیات هر جا مهم است که نشانی در یک قاعده دیوار آتش یا یک بررسی پایش سخت‌کد شده باشد. در اتصال به استخرها با نام ارجاع دهید و شبکه‌های سرویس را بیرون از آن‌ها نگه دارید.
vips = 0.0.0.0, ::برای استخر IPv6 پیشوند محلی یکتا خودتان را تولید کنید، نه اینکه یک مقدار نمونه کوتاه را بپذیرید. نمونه شکل تنظیم را نشان می‌دهد، نه مقدار پیش‌فرضی برای ارث‌بری.
مقصدها را جدا از استخرها توصیف کنید
انتخابگرهای ترافیک توصیف می‌کنند هر طرف چه انتظاری برای تبادل دارد، پس انتخابگرهای محلی دروازه باید پیشوندهای سرویس محافظت‌شده را نام ببرند نه استخرهای کارخواه. انتخابگرهای دور کارخواه آن قصد را بازتاب می‌دهند. وقتی دو فهرست اشیای متفاوتی را توصیف می‌کنند، تونل می‌تواند بالا بیاید و باز هم چیز مفیدی حمل نکند.
همان پیشوندها به مسیرهای بازگشت و ارسال مجاز درون شبکه دروازه نیاز دارند، برای هر خانواده‌ای که فعال می‌کنید.
اینجاست که یک طرح خصوصی IPv6 دیگر کافی نیست. آدرس‌دهی محلی یکتا دسترس‌پذیری خصوصی می‌خرد و خروج عمومی IPv6 ایجاد نمی‌کند، پس طرحی که فرض می‌کند خانواده بی‌شماره به‌سادگی از قواعد پوشاندن IPv4 پیروی می‌کند کاربرانش را ناامید خواهد کرد. اگر دسترسی عمومی IPv6 بخشی از نیاز است، به طرحی مسیریابی‌شده و بالادستی که با آن موافق باشد نیاز دارد. در غیر این صورت صریح بگویید که سمت IPv6 فقط خصوصی است، که مرزی صادقانه است نه محدودیتی برای پنهان کردن.
DNS و مسیرهای بازگشت را عمدی کنید
تحلیل نام از ترابری پیروی نمی‌کند. یک تحلیلگر می‌تواند رکوردهای A و AAAA را از طریق تونلی تنها IPv4 برگرداند و کارخواه سپس خانواده‌ای را امتحان می‌کند که هرگز برایش برنامه‌ریزی نکرده‌اید. تصمیم بگیرید کدام نام‌های سرویس باید پاسخ‌های دوپشته قابل‌استفاده داشته باشند و هر دو مسیر را عمدی کنید. نامی که به خانواده‌ای بدون مسیر کارآمد تحلیل می‌شود رکود ایجاد می‌کند نه خطای تمیز، و رکودها بسیار سخت‌تر تشخیص داده می‌شوند.
دسترس‌پذیری نقطه پایانی بیرونی را جدا مستند کنید، از جمله اینکه آیا هیچ گذر NAT در کار است و از کدام خانواده استفاده می‌کند.
سپس طرح را در شش خط بنویسید: نقطه پایانی بیرونی، استخر IPv4، استخر IPv6، پیشوند سرویس IPv4، پیشوند سرویس IPv6، و مسیریابی که پاسخ‌های هر یک را در اختیار دارد. طرحی با این شکل به پرسش‌هایی پاسخ می‌دهد که یک بهره‌بردار واقعاً ساعت سه بامداد می‌پرسد. هر چیز کوتاه‌تری دوپشته را به‌عنوان نشانی دومی می‌گذارد که به سیاستی تنها IPv4 پیچ شده است، و معمولاً این‌گونه نیمه‌کاره می‌ماند.