Planificar o acceso privado IKEv2 de dobre pila con strongSwan

Un túnel de dobre pila non é unha decisión senón tres, e pódense responder de xeito distinto. Por que familia circula o túnel exterior, que familias recibe o cliente dentro e en que familias responden realmente os servizos protexidos. Un deseño que as trata como unha soa opción ou ben transporta IPv6 que nunca fixo falta, ou ben reparte enderezos que nada pode encamiñar de volta. Separe as tres e o resto da configuración vólvese case mecánico.

Tres tipos de enderezo, decididos por separado

O enderezo exterior é como se alcanzan as dúas pasarelas, e pode ser IPv4 mentres o tráfico interior transporta ambas as familias. O enderezo virtual interior é a identidade do cliente dentro do túnel, e cada familia necesita o seu propio grupo. Os prefixos protexidos son o que o cliente pode alcanzar, e pertencen aos servizos, non ao túnel. Confundir o terceiro co segundo causa a maioría dos erros de planificación, porque ambos parecen rangos privados.

O transporte exterior só IPv4 con tráfico interior de dobre pila é unha disposición normal e ben soportada.

Decida cada unha explicitamente e anote as decisións. Se o camiño exterior é só IPv4, dígao e deixe de preocuparse polo alcance dos puntos finais IPv6. Se unha familia se asigna dentro pero nada responde nela, ou a quita do plan ou fai que eses servizos sexan realmente de dobre pila.

Asigne un enderezo virtual en cada familia

Nunha configuración swanctl o cliente solicita enderezos virtuais, e un comodín en cada familia pide ao respondedor que asigne un de cada unha. O respondedor tira deles de grupos, e os grupos son obxectos separados das redes detrás da pasarela. Mantéñaos separados tamén no plan, porque un grupo que se solapa cun prefixo de servizo produce encamiñamento que parece correcto ata o momento en que o tráfico aterra nun lugar non desexado.

Pida ambas as familias cando necesite as dúas, e unha cando non, porque un enderezo sen usar é superficie de política sen beneficio. Unha solicitude concreta é unha solicitude, non unha reserva, e o respondedor pode devolver outro valor segundo a súa propia política. Ese detalle importa onde un enderezo está codificado nunha regra de cortalumes ou nunha comprobación de monitorización. Consulte os grupos por nome na conexión e manteña as redes de servizos fóra deles.

vips = 0.0.0.0, ::

Xere o seu propio prefixo local único para o grupo IPv6 en lugar de adoptar un valor de exemplo curto. O exemplo mostra a forma do axuste, non un valor predeterminado que herdar.

Describa os destinos á parte dos grupos

Os selectores de tráfico describen que espera intercambiar cada lado, así que os selectores locais da pasarela deben nomear prefixos de servizos protexidos e non grupos de clientes. Os selectores remotos do cliente reflicten esa intención. Cando as dúas listas describen obxectos distintos, o túnel pode levantarse e aínda así non transportar nada útil.

Eses mesmos prefixos necesitan rutas de retorno e reenvío permitido dentro da rede da pasarela, para cada familia que habilite.

Aquí é onde un plan IPv6 privado deixa de ser suficiente. O enderezo local único compra alcance privado e non crea saída IPv6 pública, así que un deseño que supón que a familia sen numerar simplemente seguirá as regras de enmascaramento IPv4 decepcionará os seus usuarios. Se o acceso IPv6 público forma parte do requisito, necesita un plan encamiñado e un provedor superior que estea de acordo. Se non, diga claramente que o lado IPv6 é só privado, o que é unha fronteira honesta e non unha limitación que ocultar.

Faga intencionados o DNS e os camiños de retorno

A resolución de nomes non segue o transporte. Un resolutor pode devolver rexistros A e AAAA por un túnel só IPv4, e o cliente intentará entón unha familia que nunca planificou. Decida que nomes de servizo deben levar respostas de dobre pila utilizables e faga intencionados ambos os camiños. Un nome que resolve a unha familia sen camiño funcional produce unha parada en lugar dun erro limpo, e as paradas son moito máis difíciles de diagnosticar.

Documente o alcance do punto final exterior por separado, incluído se hai algunha travesía NAT en xogo e que familia usa.

Despois escriba o plan en seis liñas: punto final exterior, grupo IPv4, grupo IPv6, prefixo de servizo IPv4, prefixo de servizo IPv6 e o encamiñador que posúe as respostas de cada un. Un plan con esa forma responde ás preguntas que un operador fai de verdade ás tres da madrugada. Calquera cousa máis curta deixa a dobre pila como un segundo enderezo atafegado a unha política só IPv4, e así adoita acabar funcionando a medias.