strongSwan vips: IKEv2 om in firtuele adres freegje

vips freget om in ynterne IKEv2-adres; de gateway beslist wat er jout. Konfigurearje de oanfraach, laad it, en kontrolearje dan wat de responder eins tawiisd hat.

Jo IKEv2-klant kin de gateway om in ynterne adres freegje, en de gateway beslist wat er weromstjoert. Yn strongSwan is dy oanfraach de ynstelling vips, en it bliuwt in oanfraach, sels as jo der in spesifyk adres yn skriuwe. De runbook hjirûnder konfigurearret de oanfraach, laadt it en lêst wat weromkaam, om't dy trije stappen op trije ferskillende manieren mislearje. Gjin fan harren wurdt koarter troch hurder te typen.

Wat vips freget, en wat it net belove kin

vips heart yn in ferbiningsdefinysje en freget de responder om in firtuele adres. De strongSwan-gids foar firtuele adressen is dúdlik dat it antwurd in oar adres wêze kin, of hielendal neat, en dat is de sin dy't minsken oerslaan as se in wearde skriuwe en ferwachtsje dat dy ferskynt. De oanfraach is noch altyd de muoite wurdich, om't it antwurd is wat jo ferifiearje. Behannelje de ynstelling as in opdracht om te freegjen, net as de konfiguraasje fan it resultaat.

Om 0.0.0.0 freegje freget om elk beskikber firtueel IPv4-adres, wat meastentiids goed is as de krekte wearde net útmakket. Om in spesifyk adres freegje is in hint oan de gateway, net in eask oan him.

It swanctl-fragmint en wêr't it heart

De ynstelling sit yn it ferbiningsblok, net yn syn eigen bestân en net yn in bestjoeringssysteemprofyl. Dit isolearre fragmint lit de foarm sjen:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Laad it mei it bestân dat de ferbining hat, start dan de ferbining en lês it resultaat. In fragmint dat yn de ferkearde seksje plakt wurdt, jout in parseflater of, slimmer, in ferbining dy't laden wurdt sûnder de oanfraach dy't jo tochten dat jo dien hiene. Fier de trije opdrachten efterinoar út en bewarje de útfier.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts kiest ferkear, it makket gjin adres

local_ts neamt de set ferkear dy't de bern-SA beskermet; it set gjin adres op in ynterface. Sadree't in firtuele IP ûnderhannele is, hâldt strongSwan op mei it brûken fan syn standert dynamyske selektor en brûkt ynstee it tawiisde adres. As jo de selektor fêstsette op in letterlik adres, beweare jo eat dat de gateway miskien net tawiisd hat, en dêrom ferskynt de flater as in wurkjende SA mei ferkear dat nearne hinne giet. De selektor beskriuwt ferkear, wylst de tawizing út 'e oare útwikseling komt.

De oare manier om in stabile ynterne adres te krijen is it lokaal te besitten. Set it adres op in ynterface foardat de tunnel omheech komt, rjochtsje de selektor op wat al bestiet, en regelje de peer en de rûte deromhinne.

Yn dat ûntwerp wurdt neat ûnderhannele, dus neat kin opnij tawiisd wurde, en dat is de ruil: determinisme yn ruil foar sels it adressearwurk dwaan. It is in oar meganisme, net in fariant fan vips, en dêrom moatte de twa net yn ien ferbining mongen wurde. In fêstsette selektor njonken in ûnderhannele adres is in ferbining dy't wurket oant de gateway wat oars útjout.

Kontrolearje wat de responder eins tawiisd hat

Lês de SA-list foar it adres dat de gateway tawiisd hat, en befêstigje dan dat it adres op it ynterface bestiet. As de twa net oerienkomme, is de tunnel omheech en giet it ferkear net dêr't jo tinke. In tawiisd adres dat nea it ynterface berikt, is de meast betiizjende flater yn dizze sekwinsje, om't elke helte op himsels goed liket.

Hâld fjouwer adressen apart yn jo notysjes: it oanfrege ynterne adres, it tawiisde, it LAN-adres fan 'e masine en de iepenbiere útgong dy't in webside rapporteart. Se hearre by ferskillende lagen en ferskine op ferskillende plakken. In runbook dat alle fjouwer fêstleit, is ien dy't immen oars folgje kin sûnder te freegjen hokker adres jo bedoelden. Lês se werom nei elke werladen, om't de tawiisde wearde de iennichste is dy't de libbene tunnel beskriuwt.

Hâld it statyske ûntwerp apart

As jo in fêst ynterne adres nedich hawwe, regelje dan de reservearring op de gateway en lit de oanfraach fan 'e klant in oanfraach bliuwe. It mingen fan in fêstsette selektor mei in ûnderhannele adres jout in ferbining dy't wurket oant de gateway wat oars tawiist. Skriuw de reservearringsregel njonken de ferbining, om't dat it diel is dat in kollega net út it konfiguraasjebestân ôfliede kin. Dan erft in nije klant de regel ynstee fan him opnij te ûntdekken.

Op 'e ynboude Mac-klant bestiet gjin ien fan dizze opsjenammen. Brûk hokker tawizing of reservearring de gateway ek biedt en it profyl dat de operator publisearret, en behannelje elke wearde oan 'e klantkant as in hint oant jo de tawizing weromlêzen hawwe. Weromdraaie is de vips-rigel fuorthelje en werlade, wat jo werombringt nei wat de gateway standert tawiist.

Relatearre artikelen