Planning fan privee IKEv2-tagong mei dûbele stapel en strongSwan

In tunnel mei dûbele stapel is net ien beslút mar trije, en se kinne oars beäntwurde wurde. Oer hokker famylje de utere tunnel rint, hokker famyljes de klant binnen krijt en op hokker famyljes de beskerme tsjinsten echt beäntwurdzje. In ûntwerp dat se as ien kar behannelet, draacht óf IPv6 dy't nea nedich wie, óf dielt adressen út dy't neat werom routje kin. Skied de trije en de rest fan 'e konfiguraasje wurdt hast meganysk.

Trije soarten adressen, apart besletten

It utere adres is hoe't de twa poarten elkoar berikke, en it kin IPv4 wêze wylst it ynterne ferkear beide famyljes draacht. It ynterne firtuele adres is de identiteit fan 'e klant yn 'e tunnel, en elke famylje hat syn eigen pul nedich. De beskerme foarheaksel binne wat de klant berikke mei, en se hearre by de tsjinsten en net by de tunnel. It tredde mei it twadde betize feroarsaket de measte planningsflaters, om't beide as privee berikken lykje.

Utter ferfier allinnich oer IPv4 mei yntern ferkear fan dûbele stapel is in normale en goed stipe regeling.

Beslút elk eksplisyt en skriuw de besluten op. As it utere paad allinnich IPv4 is, sis dat en hâld op mei soargen oer berikberens fan IPv6-einpunten. As in famylje binnen tawiisd wurdt mar neat beäntwurdet it, helje it dan út it plan of meitsje dy tsjinsten echt fan dûbele stapel.

Tawize in firtueel adres yn elke famylje

Yn in swanctl-konfiguraasje freget de klant firtuele adressen, en in wildkaart yn elke famylje freget de beäntwurder om ien fan elk ta te wizen. De beäntwurder hellet se út pullen, en pullen binne aparte objekten fan 'e netwurken efter de poarte. Hâld se ek yn it plan apart, om't in pul dy't in tsjinstfoarheaksel oerlapet, routing makket dy't korrekt liket oant it momint dat ferkear earne ûnbedoeld lânet.

Freegje om beide famyljes as jo beide nedich hawwe, en om ien as jo it net nedich hawwe, om't in ûnbrûkt adres oerflak fan belied is sûnder foardiel. In spesifyk fersyk is in fersyk en gjin reservearring, en de beäntwurder kin ûnder syn eigen belied in oare wearde weromjaan. Dat detail is wichtich oeral dêr't in adres fêst kodearre is yn in fjoermuorre-regel of in monitoringskontrôle. Ferwize yn 'e ferbining nei pullen by namme en hâld tsjinstnetwurken derbûten.

vips = 0.0.0.0, ::

Meitsje jo eigen unike lokale foarheaksel foar de IPv6-pul ynstee fan in koarte foarbyldwearde oer te nimmen. It foarbyld lit de foarm fan 'e ynstelling sjen, net in standertwearde om te erven.

Beskriuw bestimmingen apart fan pullen

Ferkearsselekteurs beskriuwe wat elke kant ferwachtet út te wikseljen, dus de lokale selekteurs fan 'e poarte moatte beskerme tsjinstfoarheaksel neame en net klantpullen. De selekteurs op ôfstân fan 'e klant wjerspegelje dy bedoeling. As de twa listen ferskate objekten beskriuwe, kin de tunnel omheech komme en dochs neat nuttich drage.

Deselde foarheaksel hawwe weromrûtes en tastiene trochstjoering nedich binnen it netwurk fan 'e poarte, foar elke famylje dy't jo ynskeakelje.

Hjir hâldt in privee IPv6-plan op genôch te wêzen. Unike lokale adressaasje keapet privee berikberens en makket gjin iepenbiere IPv6-útgong, dus in ûntwerp dat oannimt dat de net-nûmere famylje gewoan de IPv4-maskeringsregels folgje sil, sil syn brûkers teloarstelle. As iepenbiere IPv6-tagong diel fan 'e eask is, hat it in rûtearre plan en in streamop nedich dy't dêrmei ynstimt. Oars sis gewoan dat de IPv6-kant allinnich privee is, wat in earlike grins is en gjin beheining om te ferbergjen.

Meitsje DNS en werompaden opsetlik

Nammebesolving folget it ferfier net. In resolver kin A- en AAAA-records weromjaan oer in tunnel allinnich IPv4, en de klant sil dan in famylje besykje dy't jo nea pland hawwe. Beslút hokker tsjinstnammen brûkbere antwurden fan dûbele stapel drage moatte en meitsje beide paden opsetlik. In namme dy't nei in famylje oplost sûnder wurkjend paad makket in stilstân ynstee fan in skjinne flater, en stilstannen binne folle hurder te diagnostisearjen.

Dokumintearje de berikberens fan it utere einpunt apart, ynklusyf oft der NAT-trochgong yn it spul is en hokker famylje dy brûkt.

Skriuw dan it plan yn seis rigels: uter einpunt, IPv4-pul, IPv6-pul, IPv4-tsjinstfoarheaksel, IPv6-tsjinstfoarheaksel, en de router dy't de antwurden foar elk hat. In plan yn dy foarm beäntwurdet de fragen dy't in operator echt om trije oere moarns stelt. Alles koarter lit dûbele stapel as in twadde adres oan in belied allinnich IPv4 fêstskroeve, en sa einiget it meastentiids healwurkjend.