Linn VPN dé-stac: an dá theaghlach a sheoladh i strongSwan

Is féidir le geata seoladh fíorúil IPv4 agus IPv6 araon a thabhairt do thaistealaí, agus an tollán seachtrach fós ag taisteal thar IPv4. Cinntí neamhspleácha iad sin, agus is é an chaoi a gcaitear leo mar aon chinneadh an áit a dtagann pleananna dé-stac as a chéile de ghnáth. Tá teaghlaigh inmheánacha an chliaint, na réimíreanna cosanta ar féidir leis iad a shroicheadh, agus an t-iompar a iompraíonn an t-imbhreoslú ina dtrí rogha ar leith.

Tagann an chuid is mó den mhearbhall as an bhfocal dé-stac a chur i bhfeidhm ar dhearadh nach bhfuil dé-stac ach in aon áit amháin. Is féidir le seirbhís a bheith dé-stac go hinmheánach, aon-stac ar a seoladh seachtrach, agus fós a bheith ag obair go foirfe do chliaint. Rud nach féidir léi a dhéanamh is oibriú de thaisme.

Dhá theaghlach istigh, aon chonair amuigh

Is é IKE thar UDP an nasc seachtrach, agus teastaíonn aon teaghlach seoltaí inrochtana uaidh ó cibé áit a bhfuil an cliant. Ní éilíonn seoladh IPv6 inmheánach soláthraí a bhfuil IPv6 aige, mar is é an paicéad inmheánach an t-ualach taobh istigh den cheann seachtrach. Iompraíonn a lán imlonnaithe oibre réimíreanna IPv6 trí nasc suas nach bhfuil ach IPv4 ann.

Is é an rud a chuireann an chonair sheachtrach srian air ná inrochtaineacht agus trasnú NAT. Mura bhfuil an geata ag fógairt ach seoladh IPv4, ní féidir le cliant ar líonra nach bhfuil ann ach IPv6 ceangal ar chor ar bith, is cuma cad iad na linn a chumraigh tú. Socraigh an teaghlach seachtrach de réir do dhaonra cliant, ní de réir an phlean seolta inmheánaigh.

Tabhair seoladh don chliant i ngach teaghlach

Is ráiteas aon líne é an dá theaghlach a iarraidh ar thaobh an chliaint, ar choinníoll go bhfuil rud éigin le roinnt ag an ngeata. Coinníonn linn ainmnithe na foinsí scartha ó na líonraí seirbhíse, agus sin an t-airí a fhágann go bhfuil rialacha an bhalla dóiteáin inléite sé mhí ina dhiaidh sin.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

Iarann an vips luach seoladh ó gach teaghlach, agus socraíonn an liosta linn cad as a dtagann na seoltaí sin. Clúdaíonn doiciméid strongSwan ar IP fíorúil iarratais iolracha agus leithdháileadh linn, lena n-áirítear an pointe gur rogha í iarraidh cliaint ar sheoladh ar leith ar féidir leis an bhfreagróir í a shárú. Ná tóg riail rochtana a ghlacann leis go bhfaigheann an cliant an luach céanna i gcónaí.

Gin do réimír áitiúil uathúil féin in ionad an sampla a chóipeáil. Má úsáideann dhá eagraíocht fd42::/16 araon, aimseoidh siad an t-imbhuailtí an chéad uair a nascfaidh siad le chéile, agus ní rud taitneamhach é a dhiagnóisiú.

Déanann roghnóirí cur síos ar chinn scríbe, ní ar fhoinsí

Deir roghnóirí tráchta áitiúla an SA linbh cad iad na líonraí cosanta atá taobh thiar den gheata, agus déanann na roghnóirí cianda cur síos ar cad is féidir leis an gcliant a úsáid mar fhoinse. Baineann seoladh linn fhíorúil le taobh foinse na beartais sin; is míléamh coitianta ar an gcumraíocht é a chur sa liosta cinn scríbe.

Teastaíonn conairí fillte agus seachadadh ceadaithe ar an ngeata ón dá theaghlach. Má chuireann tú réimír le roghnóir gan conair ar ais chuig an linn, cruthaítear tollán a bhunaítear, a théann trí aon treo tráchta amháin agus a ligeann an freagra uaidh go ciúin. Is beartas é an roghnóir, ní ródú.

Coinnigh na linn agus réimíreanna na seirbhíse i mbloic ar leith de do phlean seolta. Nuair a fhorluíonn siad, is féidir le conair ar cheart di teacht ar óstach cosanta teacht ar sheoladh linn agus imeacht sa tollán.

Socraíonn DNS agus an chonair fhreagartha an mothaítear go bhfuil sé críochnaithe

Tá freagraí an réiteora neamhspleách ar an iompar a úsáidtear chun an réiteoir a shroicheadh. Is féidir le hainm taifead A, taifead AAAA nó an dá rud a thabhairt ar ais, agus an cliant a roghnaíonn de réir a rialacha tosaíochta féin. Má fhoilsíonn seirbhís inmheánach taifead AAAA ach nach ndéanann aon rud an réimír sin a ródú, déanfaidh cliaint ar líonraí dé-stac iarracht ar an gconair IPv6 ar dtús agus fanfaidh siad ann go dteipfidh uirthi. Ní fheictear aon rud mícheart sa chumraíocht tolláin agus é sin ag tarlú.

Mar sin socraigh de réir ainm cad iad na teaghlaigh ar cheart a bheith inúsáidte, ansin seiceáil go bhfuil an réimír chomhfhreagrach sa roghnóir agus go bhfuil conair fillte aici. Is cinneadh seirbhís ar sheirbhís é sin. Is é foilsiú an dá chineál taifead go neamh-idirdhealaithe an chaoi a dtosaíonn seirbhís oibre nach bhfuil ach IPv4 ag amú ama do leath a úsáideoirí.

Fíoraigh an dá theaghlach sula ndeir tú go bhfuil sé déanta

Ní hé cumraíocht a lódálann ná cumraíocht a oibríonn. Léigh an staid a thuairiscíonn an daemon, deimhnigh leithdháiltí na linn, agus ansin féach ar na conairí a shuiteáil an cliant i ndáiríre.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

Taispeánann an chéad dá ordú na SA linbh atá bunaithe agus cé na linn a bhfuil seoltaí ar fáil fós iontu, ionas go mbeidh plean a oibríonn don chéad chliant agus a theipeann ar an deichiú le feiceáil. Taispeánann an dá cheann deireanacha ar fháil an cliant seoladh IPv6 domhanda ón linn agus cá rachadh trácht chuig réimír chosanta i ndáiríre. Déan comparáid idir an seoladh a leithdháileadh agus an linn a chumraigh tú, ní leis an seoladh a raibh súil agat leis. Má roghnaigh an freagróir luach difriúil faoina bheartas, caithfidh na conairí agus na rialacha balla dóiteáin teacht lena rogha fós.

Ansin tástáil aon óstach cosanta in aghaidh an teaghlaigh, agus tástáil ainm a réitíonn chuig an dá cheann. Ní insíonn tástáil aon teaghlach aon rud duit faoin leath den phlean nár chleacht tú, agus is gnách gurb é sin an áit a bhfuil an chonair atá ar iarraidh.