IKEv2 cliant a shroichint ag a IP fíorúil sannta

Ní mór do gheata ceangal a thosú le ríomhaire glúine atá ceangailte leis trí IKEv2, ag úsáid an seoladh fíorúil a shanntar don chliant sin. Tá an tollán suas, sroicheann an cliant gach rud taobh thiar den gheata, agus teipeann an treo droim ar ais fós. Tá an neamhshiméadracht sin normálta: cuireann an beartas idirbheartaithe síos cé na seoltaí ar féidir leo labhairt, ní cé acu taobh ar féidir leis tús a chur. Caithfidh trí rud teacht le chéile sula n-oibríonn iarraidh a thosaíonn an geata.

Ní dheisíonn an tollán an seoladh foinse

Clúdaíonn CHILD SA péire roghnóirí tráchta, ceann ar gach taobh, agus ceadaíonn sé trácht sa dá threo den phéire sin. Ní deir sé aon rud faoi cé an piara a d’oscail an malartú IKE ar dtús. Is féidir le geata a d’éist leis an tollán ar dtús an chéad phaicéad feidhmchláir a sheoladh fós, ar choinníoll go dtiteann an fhoinse agus an ceann scríbe roghnaithe laistigh de na roghnóirí suiteáilte. Nuair a fhágann an iarraidh an comhéadan mícheart, níl sí incháilithe don tollán ar chor ar bith.

Tá ródú i dtreo an chliaint riachtanach agus ní leor. Caithfidh an beartas glacadh leis an bhfoinse a d’úsáid tú i ndáiríre.

Léigh an beartas suiteáilte, ní an comhad cumraíochta

Tosaigh ón gcomhlachas gníomhach agus a roghnóirí, mar athraíonn an tascadh dinimiciúil an méid atá suiteáilte sa chnaoi.

ipsec statusall
ip xfrm policy

Ainmníonn aschur an stádais an ceangal, an seoladh fíorúil sannta agus na roghnóirí atá i bhfeidhm faoi láthair don phiara sin. Taispeánann díosal an bheartais na roghnóirí céanna mar staid na cnaoiche, agus is é sin a théann roghnú paicéad i gcomhairle leis i ndáiríre. Cuir roghnóir thaobh an gheata i gcomparáid leis an bhfoinse a úsáidfidh d’fheidhmchlár, mar míniú láithreach ar an teip is ea neamhréir. Léigh seoladh reatha an chliaint seach ceann ó sheisiún roimhe, mar déanann VIP a athsanntar an seancheartas a chur ar neamhní.

Caithfidh an cliant éisteacht san áit a dtagann an paicéad

Sroicheann fiú beartas foirfe calafort dúnta nuair nach gceanglaíonn an tseirbhís ach le loopback. Caithfidh an t-éisteoir a bheith ar an seoladh sannta nó ar sheoladh áitiúil saor.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Taispeánann liosta na soicéad an bhfuil an calafort ceangailte leis an seoladh fíorúil, agus taispeánann rialacha an bhalla dóiteáin an nglactar le naisc nua ón bhfoinse chosanta. Ní admhaíonn riail a scríobhadh do naisc bhunaithe nasc a thosaíonn an geata. Coinnigh fíordheimhniú na seirbhíse féin, mar ní shuíonn teacht tríd an tollán ach ó cén líonra a tháinig an paicéad. Ní theastaíonn aon atreorú calafoirt isteach ó chliant taobh thiar dá NAT féin fós, mar téann na hiarrataí seo laistigh den tollán atá ann cheana.

Tástáil an treo nua leis féin

Ní chleachtann iarraidh oibre ó chliant go freastalaí an cosán seo riamh. Gin an iarraidh ón ngeata agus breathnaigh ar an dá cheann.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Freagraíonn an chuardach róid cé an fhoinse agus an comhéadan a d’úsáidfeadh an geata, agus sin an luach a chaithfidh an beartas a admháil. Ba chóir don ghabháil a thaispeáint go bhfágann an iarraidh laistigh de ESP seach mar TCP lom ar an gcomhéadan poiblí. Ar an gcliant, gabh an trácht díchriptithe chun an teacht agus ar fhreagair an tseirbhís a dhearbhú. Má imíonn an iarraidh gan ESP ar an sreang, bíodh amhras ort faoin seoladh foinse roimh bhalla dóiteáin an chliaint.

Déan an tástáil arís tar éis athrú eochrach nó athnascadh, mar féadfaidh an VIP athrú. Ní cosán oibre é cosán nach n-oibríonn ach go dtí an chéad seisiún eile.