strongSwan vips: virtuaaliosoitteen pyytäminen IKEv2:lta

IKEv2-asiakkaasi voi pyytää yhdyskäytävältä sisäistä osoitetta, ja yhdyskäytävä päättää, mitä se palauttaa. strongSwanissa tämä pyyntö on vips-asetus, ja se pysyy pyyntönä myös silloin, kun kirjoitat siihen tietyn osoitteen. Alla oleva ohje määrittää pyynnön, lataa sen ja lukee, mitä takaisin tuli, koska nämä kolme vaihetta epäonnistuvat kolmella eri tavalla. Mikään niistä ei lyhene kovempaa kirjoittamalla.

Mitä vips pyytää ja mitä se ei voi luvata

vips kuuluu yhteysmääritelmän sisään ja pyytää vastaajalta virtuaalista osoitetta. strongSwanin virtuaalisia osoitteita koskeva opas sanoo selvästi, että vastaus voi olla toinen osoite tai ei mitään, ja juuri sen lauseen ihmiset ohittavat kirjoittaessaan arvon ja odottaessaan sen ilmestyvän. Pyyntö kannattaa silti tehdä, koska tarkistat vastausta. Kohtele asetusta kehotuksena kysyä, älä tuloksen määrityksenä.

Kohteen 0.0.0.0 pyytäminen pyytää mitä tahansa käytettävissä olevaa virtuaalista IPv4-osoitetta, mikä on yleensä oikein, kun tarkalla arvolla ei ole väliä. Tietyn osoitteen pyytäminen on vihje yhdyskäytävälle, ei vaatimus sille.

swanctl-katkelma ja mihin se kuuluu

Asetus istuu yhteyslohkon sisällä, ei omassa tiedostossaan eikä käyttöjärjestelmän profiilissa. Tämä eristetty katkelma näyttää muodon:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Lataa se tiedostolla, joka omistaa yhteyden, käynnistä sitten yhteys ja lue tulos. Väärään osioon liitetty katkelma tuottaa jäsennysvirheen tai, pahempaa, yhteyden, joka latautuu ilman pyyntöä, jonka luulit tehneesi. Suorita kolme komentoa järjestyksessä ja säilytä tuloste.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts valitsee liikennettä, se ei luo osoitetta

local_ts nimeää liikennejoukon, jota lapsi-SA suojaa; se ei aseta osoitetta rajapinnalle. Kun virtuaalinen IP on neuvoteltu, strongSwan lopettaa oletusarvoisen dynaamisen valitsimensa käytön ja käyttää sen sijaan myönnettyä osoitetta. Jos kiinnität valitsimen kirjaimelliseen osoitteeseen, väität jotain, jota yhdyskäytävä ei ehkä myöntänyt, ja siksi vika näkyy toimivana SA:na, jonka liikenne ei mene mihinkään. Valitsin kuvaa liikennettä, kun taas määritys tulee toisesta vaihdosta.

Toinen tapa saada vakaa sisäinen osoite on omistaa se paikallisesti. Aseta osoite rajapinnalle ennen kuin tunneli nousee, osoita valitsin siihen, mikä on jo olemassa, ja järjestä vastapuoli ja reitti sen ympärille.

Siinä mallissa ei neuvotella mitään, joten mitään ei voi määrittää uudelleen, ja se on vaihtokauppa: determinismi siitä, että teet osoitteistuksen itse. Se on eri mekanismi, ei vipsin muunnos, minkä vuoksi niitä ei pidä sekoittaa yhdessä yhteydessä. Kiinnitetty valitsin neuvotellun osoitteen vieressä on yhteys, joka toimii, kunnes yhdyskäytävä jakaa jotain muuta.

Tarkista, mitä vastaaja todella määritti

Lue SA-luettelosta osoite, jonka yhdyskäytävä myönsi, ja vahvista sitten, että osoite on rajapinnalla. Jos ne kaksi eivät täsmää, tunneli on ylhäällä ja liikenne ei mene sinne, minne luulet. Myönnetty osoite, joka ei koskaan saavu rajapinnalle, on tämän sarjan hämmentävin vika, koska kumpikin puolisko näyttää itsestään oikealta.

Pidä neljä osoitetta erillään muistiinpanoissasi: pyydetty sisäinen osoite, myönnetty osoite, koneen LAN-osoite ja julkinen ulostulo, josta jokin verkkosivusto ilmoittaa. Ne kuuluvat eri kerroksiin ja esiintyvät eri paikoissa. Ohje, joka tallentaa kaikki neljä, on sellainen, jota joku muu voi seurata kysymättä, mitä osoitetta tarkoitit. Lue ne uudelleen jokaisen uudelleenlatauksen jälkeen, koska myönnetty arvo on ainoa, joka kuvaa elävää tunnelia.

Pidä staattinen malli erillään

Jos tarvitset kiinteän sisäisen osoitteen, järjestä varaus yhdyskäytävälle ja jätä asiakkaan pyyntö pyynnöksi. Kiinnitetyn valitsimen sekoittaminen neuvoteltuun osoitteeseen antaa yhteyden, joka toimii, kunnes yhdyskäytävä määrittää jotain muuta. Kirjoita varaussääntö yhteyden viereen, koska se on se osa, jota kollega ei voi päätellä asetustiedostosta. Silloin uusi asiakas perii säännön sen sijaan, että löytäisi sen uudelleen.

Macin sisäänrakennetussa asiakkaassa mikään näistä asetusnimistä ei ole olemassa. Käytä mitä tahansa määritystä tai varausta, jota yhdyskäytävä tarjoaa, ja profiilia, jonka operaattori julkaisee, ja kohtele mitä tahansa asiakaspuolen arvoa vihjeenä, kunnes olet lukenut määrityksen takaisin. Palautus tarkoittaa vips-rivin poistamista ja uudelleenlataamista, mikä palauttaa sinut siihen, mitä yhdyskäytävä määrittää oletusarvoisesti.